Document external Windows release handoff

CHANGELOG.md

@@ -2,6 +2,14 @@
 
 ## Не выпущено
 
+- Deployment: подготовлен внешний handoff для Windows-клиента от точного Gitea
+  commit. Bundle фиксирует commit/tree/blob identity и SHA-256; installer
+  проверяет bundle и ACL до записи и не запускает Git. Bootstrap на release A
+  может подготовить release B только при точном совпадении pinned runtime-файлов
+  и release policy. Первый Windows task остаётся preparation-only; отдельные
+  auto-apply config и task выключены. Изолированный PowerShell 5.1 harness для
+  bundle-проверки завершился успешно на точном PR SHA; реальная установка,
+  регистрация задач, SSH и production не выполнялись и не активировались.
 - Документация: объединены продуктовый, UI- и deployment-планы; уточнены
   внешняя backup-retention политика и обязательный owner-approved maintenance
   window для cold backup. Передача корпуса требует атомарной публикации