feat: protect sensitive catalog samples

CONTEXT.md

@@ -362,13 +362,18 @@ richiede autenticazione. Non appartiene al workspace ed è indipendente dalla co
 richiesta LiteLLM per conto del backend. Non è un servizio HTTP, non possiede il lifecycle della
 Description Generation Run e non è una CLI esposta agli utenti.
 
-**Catalog Sample** — Un input transitorio composto da un massimo di cinque righe reali e dai
-valori di esempio bounded letti da una Catalog Table per la generazione delle descrizioni. È
-trattato come dato non fidato, non viene persistito e non diventa Catalog Metadata.
+**Catalog Sample** — Un input transitorio composto da un massimo di cinque righe e da valori di
+esempio bounded di una Catalog Table per la generazione delle descrizioni. Può contenere valori
+reali oppure sintetici in base al Sensitive Data Flag della Catalog Column; non viene persistito
+e non diventa Catalog Metadata.
 
-**Sensitive Data Policy** — L'insieme di regole che classifica i valori sorgente protetti per
-l'uso nei processi AI e ne prescrive l'esclusione o l'anonimizzazione. Non coincide con la sola
-classificazione dei dati personali.
+**Sensitive Data Flag** — La scelta binaria umana applicata a una Catalog Column: `true` protegge
+i valori sorgente e `false` ne consente l'invio al modello. Il valore predefinito è `false`, anche
+per le nuove colonne.
+
+**Sensitive Data Policy** — La regola che applica il Sensitive Data Flag ai Catalog Sample:
+valori sintetici per una colonna protetta, valori reali per una colonna non protetta. L'AI può
+suggerire il flag dai soli metadati tecnici, ma soltanto l'utente lo imposta.
 _Avoid_: PII filter, sample filter
 
 **Introspection Capability** — Una categoria di struttura fisica che una Database Binding