docs(spec): document avatar/cover upload API (Back#71).

Refs EventHub/EventHubBack#71
Refs EventHub/EventHubSpec#8

EventHubBackSpec.md

@@ -229,7 +229,8 @@ Legacy: прямой `POST /v1/calendars/:id/specialists` **не использ
   позиция и боевой эквайринг **подписки владельца** (не оплата услуги клиентом); DNS/SPF
   без покупки домена без явного ок.
 - Waitlist на событие (после уведомлений).
-- Серверный logout / revoke session; загрузка файлов (avatar/cover).
+- Серверный logout / revoke session; загрузка файлов avatar/cover —
+  **сделано** (Back#71); вложения к событию — позже.
 - Email-reminder booking — **сделано** (Back#70, §2.6); Web Push / prefs — позже.
 - `calendar_share` (`read` | `write` | `admin`): низкий приоритет; не путать с follow,
   specialist_invite и платной subscription. User HTTP API и UI — до отдельной задачи
@@ -724,7 +725,12 @@ src/
 - Система не поддерживает транзакционную целостность между несколькими таблицами на уровне
   приложения (полагаемся на Mnesia).
 - В текущей версии отсутствует полноценная система уведомлений (только таблица).
-- Загрузка файлов (вложения) пока не реализована.
+- Загрузка файлов: **avatar/cover** — `POST /v1/user/me/avatar`,
+  `POST /v1/calendars/:id/cover` (multipart field `file`); MIME jpeg/png/webp
+  (magic bytes), лимит `UPLOAD_MAX_BYTES` (default 2 MiB) → 413/415;
+  хранение local disk `UPLOAD_DIR` (default `/app/data/uploads` на volume
+  `eventhub-data`); отдача `GET /v1/media/:kind/:owner/:file` (public).
+  Вложения к событию — пока не реализованы.
 - Серверный рендеринг календаря работает только для владельца календаря.
 - Автоматическое архивирование через `archive_controller` в локальном режиме использует
   `slave:start`, который устарел; в production планируется `peer`.