Valida las respuestas contra la versión de la sesión, guarda la respuesta completa y devuelve el final que corresponde. Es idempotente: si la sesión ya se envió (reintento, doble clic, corte de red) devuelve el mismo ending con alreadySubmitted: true y no repite el aviso al negocio ni los premios. Usa una clave distinta por sesión: si la clave ya es de otra respuesta, el envío se rechaza con 409 IDEMPOTENCIA_EN_USO y la sesión sigue abierta.