feat(ti/permisos): un módulo por pestaña, cuatro perfiles y la matriz de TI en portal_admin

Hasta hoy sólo la captura (Licenciamiento, Documentación API) y unas secciones sueltas pedían módulo. Los tableros de Infraestructura, Soporte técnico y Proyectos TI pedían sólo el área ti: la sub-área nada más escondía la entrada del sidebar, y cualquiera con el área los leía por la API.

• Catálogo: 15 módulos, uno por pantalla o pestaña, agrupados por pantalla. Costos de nube, Obsolescencia, Ancho de banda y Mapa se otorgan por separado; Tickets y Activo Fijo también; Proyección Presupuesto tiene el suyo (antes usaba el de Licenciamiento).
• Cada endpoint de routers/ti.py exige ahora el área Y el módulo de su pestaña.
• Perfiles (plantillas, como los roles de RH): Gerente de TI, Soporte técnico, Infraestructura y Capturista de licencias. Asignar uno siembra sus módulos y sólo sube niveles; quitarlo no revoca nada. Ninguno da la Auditoría de Licenciamiento ni la fuente Asana; la calidad de la información y «Editar en GLPI» van sólo en Soporte técnico. El rol viejo capturista se renombra a capturista_licencias.
• Híbrido con el OAE: las sub-áreas ti-servicios, ti-tickets y ti-costos siguen dando LECTURA de los módulos de su pantalla (SUBAREA_DA_LECTURA), así que nadie pierde acceso con el deploy.
• Front: Infraestructura y Soporte pintan sólo las pestañas que el usuario tiene (también en el OAE); Proyectos, Licenciamiento y Presupuesto llevan guarda; el sidebar y la portada de Sistemas se deciden por módulo.
• La matriz se administra en portal_admin → Usuarios y permisos → TI, como RH y Jurídico (perfil + pestañas, al vuelo). La página oculta de portal_ti queda alineada.

Después del deploy hay que asignar los perfiles desde portal_admin (QA y PRD son bases separadas; no hay correos en el código).

Co-Authored-By: Claude Opus 5.5 noreply@anthropic.com