feat(ops,fin,crm): reglas de negocio del PDF (decisiones, cierre, facturación, continuidad, RBAC)

Cierra los huecos de la auditoría contra "SOFTWARE PARA AGENTES DE CARGA":

- ops (Diag. 2/3): bitácora con puntos de decisión (kind=decision) y ciclo de
  corrección (parent_event_id/attempt) para ¿Cut Off? y ¿despacho autorizado?
  (R-E-05/13, R-I-06). Reprogramación de salida (previous_etd, R-E-06). Hitos
  operativos completos export/import. Cierre operativo con costos finales
  (close_shipment, R-E-22).
- fin (Diag. 4): facturación con gate por cierre operativo y sin duplicar
  (R-F-01), costos de operación arrastrados (ops_cost_total, R-F-02), envío con
  PDF generado y guardado en MinIO (send_invoice + pdf.py sin dependencias,
  R-F-05) y revisión del cliente (en_revision_cliente + aprobación, R-F-06).
- crm (Diag. 1): opportunity_id enlaza embudo→RFQ (R-C-02), contacto como etapa
  (first_contact_at, R-C-04), re-cotización (clone_quote + reopen, R-C-12).
- transversal: catálogo de Incoterms y participantes/actores incl. autoridad
  aduanera (R-T-01/10), enforcement de permisos por carril (RBAC) con roles
  sembrados y dependencias dev-safe (R-T-07).
- Migración d5e6f7a8b9c0 con downgrade. Seed extendido. 70 tests (12 nuevos).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

backend/api/v1/modules/crm/router.py

@@ -5,12 +5,15 @@ Importar este módulo también registra los permisos del CRM (side-effect de
 ``permissions``), siguiendo el patrón del ``PermissionRegistry``.
 """
 
-from fastapi import APIRouter
+from fastapi import APIRouter, Depends
+
+from api.v1.modules.core.permissions.dependencies import PermissionChecker
 
 from . import permissions  # noqa: F401  (side-effect: registra permisos del CRM)
 from .accounts.routes import router as accounts_router
 from .activities.routes import router as activities_router
 from .addresses.routes import router as addresses_router
+from .catalogs.routes import router as catalogs_router
 from .contacts.routes import router as contacts_router
 from .documents.routes import router as documents_router
 from .leads.routes import router as leads_router
@@ -22,7 +25,10 @@ from .service_requests.routes import router as service_requests_router
 from .suppliers.routes import router as suppliers_router
 from .uploads.routes import router as uploads_router
 
-router = APIRouter()
+# Enforcement por área/carril (R-T-07): se exige el permiso crm.access para tocar
+# cualquier endpoint del módulo. En desarrollo el usuario se auto-bootstrapea a
+# super_admin (ver PermissionChecker) para no bloquear el entorno.
+router = APIRouter(dependencies=[Depends(PermissionChecker(["crm.access"]))])
 
 router.include_router(accounts_router)
 router.include_router(suppliers_router)
@@ -36,4 +42,5 @@ router.include_router(pipelines_router)
 router.include_router(opportunities_router)
 router.include_router(activities_router)
 router.include_router(metrics_router)
+router.include_router(catalogs_router)
 router.include_router(uploads_router)