sync: GOLDEN-PATH-CHART-HOOK-ORDER + ADDON-PROVISIONER-IMPL — desde coralware/IDP@9f03643

Sincroniza desde el monorepo IDP la corrección del hook-order del ServiceAccount
(hook pre-install/pre-upgrade, weight -5) que destraba el helm install del
golden-path sin --no-hooks. Cierre del 4º gap del pipeline tenant hands-off:
el smoke E2E valida ahora la cadena completa (addon-provisioner materializa
MariaDB; AddonClaim publica DATABASE_URL en apps).

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

README.md

@@ -24,10 +24,17 @@ diseño** — si tu app necesita base de datos, migra al shape
 │   ├── pyproject.toml
 │   ├── requirements.txt
 │   └── Dockerfile
-├── helm/__APP_NAME__/            ← Helm chart minimal (sin hooks)
+├── helm/__APP_NAME__/            ← Helm chart minimal
 └── .gitea/workflows/             ← CI: tests + build + deploy
 ```
 
+> **Hooks Helm:** el `ServiceAccount` se materializa como hook
+> `pre-install,pre-upgrade` (`hook-weight: -5`,
+> `hook-delete-policy: before-hook-creation`) por **paridad** con el shape
+> `web-backend/python`. Este shape no tiene Job de migración, así que el hook
+> no es estrictamente necesario aquí — se mantiene para que ambos charts sean
+> coherentes. `helm upgrade --install` funciona sin `--no-hooks`.
+
 ---
 
 ## Endpoints obligatorios