feat: push de agenda sin OSINT (compone persona enlazada) + sync inverso por etag

Privacidad (decisión del usuario: al móvil solo datos de agenda):
- _compose_agenda_vcard compone el vCard desde el contacto (fn/tels/emails) + las
  direcciones (ADR) y aliases (NICKNAME) de la persona enlazada por note_path, SIN pasar
  nunca el dict osint a build_vcard → el vCard jamás lleva X-OSINT-* (DNI/sexo/fecha-nac
  quedan solo en DuckDB+Obsidian). Usado en upsert_contact y en el push masivo push_all_dav
  (que antes leía solo contacts y perdía las direcciones).

Sync inverso DAVx5→DuckDB (last-write-wins por etag):
- Tras cada push se captura el etag nuevo del recurso (dav_list_resources) y se persiste en
  contacts.etag, para no confundir el push propio con una edición del móvil.
- POST /api/sync/dav-pull: pull incremental — compara etags, descarga SOLO los recursos
  cambiados/nuevos (dav_get_resource + parse_vcard + upsert), borra los que el móvil quitó,
  re-enlaza. Distinto del ingest_dav (DELETE+INSERT ciego): respeta la verdad de la DB salvo
  donde el etag prueba un cambio externo.

20 tests verdes (18 + 2 nuevos: vCard sin OSINT con direcciones; pull incremental por etag).

server/main.py

@@ -28,6 +28,7 @@ endpoints de datos responden SIEMPRE 200 con status ok|error en el body):
     POST /api/query/named   ejecuta una query del catálogo {name, max_rows}
     POST /api/ingest/vault  re-escanea el vault y reconstruye maestras+derivadas
     POST /api/ingest/dav    baja Xandikos y reconstruye contacts/events+derivadas
+    POST /api/sync/dav-pull sync inverso incremental por etag (ediciones del móvil)
     POST /api/render/note   ejecuta query y la upserta como bloque sentinel en una nota
 """
 
@@ -359,6 +360,12 @@ def create_app(cfg: Config) -> FastAPI:
     def push_dav() -> dict:
         return _guard(lambda: writes.push_all_dav(cfg))
 
+    @app.post("/api/sync/dav-pull")
+    def sync_dav_pull() -> dict:
+        # Sync inverso: trae a la DB las ediciones del móvil/DAVx5,
+        # last-write-wins por etag (incremental, distinto de ingest_dav).
+        return _guard(lambda: writes.pull_dav(cfg))
+
     return app