feat(mantis-44168): permitir cargar foto del estudiante

Se agrega el endpoint POST /api/estudiantes/{id}/foto para cargar o reemplazar la foto de un estudiante.

El backend valida que el archivo sea JPG o PNG y no supere los 5 MB. Luego lo guarda en el bucket privado y almacena su referencia en el estudiante. El endpoint requiere el permiso MODIFICAR_DATOS_SENSIBLES_ESTUDIANTE y registra la operación en auditoría.