fix(treatment): let the operator actually record an area

Starting a session created area records with no device, and the panel only ever
read the device it never set — so every "اتمام این ناحیه" came back 422 with
"دستگاه این ناحیه مشخص نیست". The backend tests passed because they sent
resource_uuid explicitly; from the UI the flow was unusable end to end.

The device now inherits from the appointment's resource, which the secretary
already chose at booking; asking the operator again is taking one decision
twice. The session screen offers a picker per area on top of that, because one
session really does run bikini on an alexandrite and underarms on a diode.

Treating without a device is allowed: botox is an injection, and requiring a
device would make clinics invent a fake resource per injection. Sending readings
with no device is still rejected — there would be no schema to validate against.

A protocol whose service has no ResourceServiceOffering rows now says so in the
tab where the manager is standing. It does not block booking: "no offering means
any resource" is a deliberate, tested rule. But silence meant the gap surfaced
only when the operator was already in front of a patient.

Also adds the live timer the spec asked for, and wires slot-suggestions into the
unbooked queue — the endpoint existed and tested green but no screen called it.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/api/treatment.md

@@ -44,6 +44,16 @@ late shifts the rest of their course rather than getting the next session too ea
 
 `data: null` یعنی سوییچ خاموش است، نه اینکه چیزی پیدا نشد.
 
+وقتی پروتکل هست، یک کلید کمکی هم می‌آید:
+
+| Field | توضیح |
+|---|---|
+| `service_has_resources` | آیا هیچ `ResourceServiceOffering` برای این سرویس هست |
+
+`false` رزرو را **قفل نمی‌کند** — قاعدهٔ «سرویس بدون offering روی هر منبعی مجاز است» عمدی و
+تست‌شده است. ولی مدیر باید ببیند، وگرنه تازه وقتی اپراتور جلوی بیمار می‌رسد معلوم می‌شود هیچ
+دستگاهی وصل نشده و فرم درست نمی‌آید.
+
 ### Response `200`
 ```json
 {
@@ -266,7 +276,7 @@ single-session again. Idempotent: deleting a service that has no protocol still
 | Method | Path | کار |
 |---|---|---|
 | GET | `/dashboard/staff/treatment-sessions` | جلسات امروزِ همین پرسنل |
-| GET | `/dashboard/staff/treatment-session/{uuid}` | جزئیات جلسه + نواحی + `forms` |
+| GET | `/dashboard/staff/treatment-session/{uuid}` | جزئیات جلسه + نواحی + `devices` + `forms` |
 | POST | `/dashboard/staff/treatment-session/{uuid}/start` | شروع جلسه |
 | POST | `/dashboard/staff/treatment-session/{uuid}/finish` | اتمام جلسه |
 | POST | `/dashboard/staff/session-area/{uuid}/start` | شروع یک ناحیه |
@@ -276,6 +286,11 @@ single-session again. Idempotent: deleting a service that has no protocol still
 ### شروع جلسه
 
 رکوردِ هر ناحیهٔ پرونده یک بار ساخته می‌شود، پس فراخوانی دوباره ناحیهٔ تکراری نمی‌سازد.
+
+**دستگاه از نوبت به ارث می‌رسد.** هر رکورد ناحیه با `Appointment.resource` ساخته می‌شود؛ منشی
+همان لحظهٔ رزرو انتخابش کرده و پرسیدن دوباره‌اش از اپراتور یعنی یک تصمیم را دو بار گرفتن.
+اپراتور می‌تواند per ناحیه عوضش کند — همان کاری که لازم است وقتی بیکینی با الکساندرایت و زیر بغل
+با دایود انجام می‌شود.
 پرسنلِ فراخوان به‌عنوان **انجام‌دهندهٔ واقعی** ثبت می‌شود — ممکن است با پرسنلِ
 برنامه‌ریزی‌شدهٔ نوبت فرق کند، و سابقهٔ پزشکی باید بگوید چه کسی واقعاً دستگاه را دست گرفت.
 
@@ -293,6 +308,17 @@ single-session again. Idempotent: deleting a service that has no protocol still
 }
 ```
 
+`resource_uuid` اختیاری است: نبودنش یعنی همان دستگاهِ ارث‌رسیده، و فرستادنش یعنی اپراتور برای این
+ناحیه دستگاه دیگری گذاشته.
+
+**درمانِ بی‌دستگاه مجاز است.** بوتاکس تزریق است نه دستگاه؛ اجبارِ دستگاه یعنی کلینیک برای هر
+تزریق یک منبع ساختگی بسازد. پس ناحیه‌ای که نه دستگاه دارد و نه مقداری برایش آمده، بسته می‌شود.
+ولی فرستادن `parameters` بدون دستگاه ⇒ `422` — با چه schemaیی سنجیده شود؟
+
+پاسخِ `GET` دو کلید کمکی دارد: `devices` فهرست دستگاه‌های فعالِ محیط، و `forms` نگاشت
+`uuid دستگاه → فیلدهایش`. پنل با همین دو، انتخابگر دستگاه و فرم متناظرش را می‌سازد بدون اینکه
+چیزی دربارهٔ لیزر بداند.
+
 `parameters` با `field_schema`ِ **نوع همان منبع** سنجیده می‌شود — قواعدش در
 [resource.md](./resource.md#فرم-ثبت-درمان). کلید ناشناخته، مقدار خارج از گزینه‌ها و فیلد
 الزامیِ نیامده هر سه `422` می‌گیرند.