feat(juridico): runbook post-deploy completo corre solo al arranque

Antes solo corrían reconcile de empresas + vínculos y el resto era manual por entorno — y se olvidaba: en QA (2026-06-12) el área quedó sin permisos de edición hasta correr los 6 POSTs a mano. Ahora el boot ejecuta, en orden del runbook §10.1: reconcile usuarios/empresas, backfill usuarios, vínculos contencioso, FKs de marcas y contencioso, y permisos B4. Todo idempotente y best-effort (una falla no tumba el boot; quedan los endpoints manuales).

Co-Authored-By: Claude Fable 5 noreply@anthropic.com