Gera uma URL assinada, de acesso temporário, para baixar um arquivo do armazenamento de documentos. Informe em fileUrl o endereço do arquivo; o arquivo é procurado, nesta ordem, no armazenamento de documentos atual, no legado, no armazenamento da análise AG-IA e, por fim, no serviço de busca de arquivos. Use a fileUrl devolvida para baixá-lo diretamente. Requer autenticação via Bearer JWT ou header x-api-key. O cliente precisa pertencer à empresa do usuário: cliente inexistente devolve 404 (Cliente não encontrado), cliente de outra empresa devolve 401 (Acesso negado) e usuário inativo devolve 404 (Usuário não encontrado). Usuário sem perfil de permissão recebe 403 (Acesso negado); perfil inexistente, 401 (Permissão inválida!).