docs: dire partout que la lecture par lot n'existe plus

Le contrat publie et l'api-contract etaient traites avec le retrait lui-meme ;
restaient les documents qui decrivaient readUnion comme la primitive de
lecture du paquet, ou qui nommaient le module disparu.

Ce que les lecteurs apprennent maintenant : lire un document, c'est
docs.sparqlQuery ancre dessus, et lire plusieurs documents, c'est cet appel
une fois par document -- avec la decision sur une lecture qui echoue ecrite
au point d'appel. Deux consequences sont dites plutot que decouvertes : une
lecture refusee leve au lieu de rendre une liste vide, et les sujets sous le
prefixe reserve urn:ng-eventually: reviennent dans le resultat, a l'appelant
de les ignorer -- sans aucun gain de droits, les deux registres qu'un
document ordinaire porte etant l'adresse de sa boite et, pour un document
public, la cle que son magasin sert deja a qui la demande.

Les briefs dates ne sont pas touches : ils decrivent un etat de juillet, et
le reecrire falsifierait ce qui avait ete decide alors.

docs/simulation.md

@@ -135,7 +135,7 @@ public/protected/private stores — on top of one shared wallet.
   user, and the only listing there is: the cross-account fan-out
   (`listEntityDocs` / `resolveReadGraphs` / `allAccounts` / `loadShim`) was
   **removed on 2026-07-30**, being cross-user enumeration by construction. The real read path is
-  `readUnion(docs)`, which reads the by-need doc set with one per-doc
+  one anchored `docs.sparqlQuery` per document, which reads the by-need doc set with one per-doc
   anchored `sparql_query`, never an anchorless union-scan of the physical
   wallet (see [`read-model.md`](./read-model.md)). The consumer application resolves
   the by-need doc set from the current wallet's own scope index and
@@ -528,7 +528,7 @@ redundant so a lapse in either is caught by the other:
   / `sparqlUpdate` / `subscribeDoc`): nothing reaches `ng` unless the connected user
   possesses that document's cap. It fires on a request that should never have been
   made, and makes it fail loudly rather than succeed quietly.
-- **Rule 2, do not even attempt** (`mustNotAttempt`, at the callers — `readUnion`
+- **Rule 2, do not even attempt** (`mustNotAttempt`, at the callers — `ensureRepoOpen`
   filters before opening or reading, `ensureRepoOpen` returns): a reader holding no
   cap does not issue the operation at all. Upstream you cannot even *address* a repo
   you have no cap for, so asking is not "a read that will be refused" — it is a read