feat: add bounded KIS account read recovery

docs/data-model.md

@@ -168,6 +168,26 @@
   - 5xx/network/timeout → outcome `retryable_failure`, status `pending` (다음 tick 재시도).
 - slot 전이는 outbox 적재와 분리되어 critical path 유지.
 
+## Entity: `broker_account_snapshot` (dcy-041 / GitHub #45)
+
+- Purpose: KIS 계좌조회 전송 장애 동안 신규매수와 위험축소 매도의 허용 범위를 짧게 제한하는 계정별 마지막 정상값.
+- Source of Truth: 실시간 KIS 조회가 항상 우선이며 이 테이블은 임시 복구값이다. 재시작 원장대조에는 사용하지 않는다.
+
+### Key Fields
+
+- account_hash :: TEXT PK :: `SHA-256(CANO|ACNT_PRDT_CD)`. 평문 계좌번호를 저장·로그하지 않는다.
+- holdings :: JSONB NOT NULL :: `[{symbol,hldg_qty}]`. 소유권 래퍼가 켜진 계정은 전략 소유분만 저장한다.
+- holdings_captured_at :: TIMESTAMPTZ? :: 보유수량 조회가 마지막 성공한 시각.
+- available_cash :: BIGINT? :: KIS 주문가능조회 `nrcvb_buy_amt` 현금주문 가능금액.
+- cash_captured_at :: TIMESTAMPTZ? :: 주문가능금액 조회가 마지막 성공한 시각.
+
+### State Rules
+
+- 보유수량과 주문가능금액은 독립적으로 갱신한다. 한 조회의 실패가 다른 정상값과 캡처 시각을 덮지 않는다.
+- 계정 해시는 저장 직전 재확인하며 바뀌면 저장하지 않는다.
+- PostgreSQL advisory lock으로 계정당 백그라운드 조회 소유자는 하나만 허용한다.
+- 기본 최대 나이는 매수 600초, 매도 3600초이고 매도도 실시간 보유조회가 `transport_failed`일 때만 사용한다.
+
 ## Shared Consistency Rules
 
 - 모든 상태 변경과 전이 로그 append 는 동일 advisory-locked 트랜잭션 안에서 일어난다. advisory lock 은 인스턴스 스코프(`slot_advisory_lock_id(instance_key)`, REQ-057 NFR-1).