fix: BUG-01 + AUTH + DATA-01 UnionFlow

BUG-01: BudgetService.toResponse() — remplace doubleValue()>0 par
compareTo(BigDecimal.ZERO)>0 (précision BigDecimal) ; ajoute 2 tests
couvrant varianceRate=0 (totalPlanned=0) et varianceRate=-40%

AUTH: MembreKeycloakSyncService.changerMotDePassePremierLogin() — élargit
le catch de ForbiddenException vers WebApplicationException avec vérification
du statut HTTP (le REST client MicroProfile ne garantit pas la sous-classe)

DATA-01: MembreService.desactiverMembre() — décrémente nombreMembres sur
toutes les orgs actives du membre et passe le statutMembre à DESACTIVE

src/main/java/dev/lions/unionflow/server/service/MembreService.java

@@ -304,6 +304,16 @@ public class MembreService {
     }
 
     membre.setActif(false);
+
+    // Décrémenter le compteur nombreMembres pour chaque organisation active du membre
+    // (fix DATA-01 : le compteur restait figé lors d'une désactivation directe)
+    membreOrganisationRepository.findOrganisationsActivesParMembre(id).forEach(mo -> {
+      mo.getOrganisation().retirerMembre();
+      mo.setStatutMembre("DESACTIVE");
+      LOG.infof("Compteur membres décrémenté pour organisation %s (membre désactivé)",
+          mo.getOrganisation().getId());
+    });
+
     LOG.infof("Membre désactivé: %s", membre.getNomComplet());
   }