chart 0.3.0: AddonClaim FUERA del chart Helm (ADR-066 del IDP)

Bug en chart 0.2.x: AddonClaim era Helm hook pre-install,pre-upgrade
weight -10 SIN hook-delete-policy. El default Helm 3 es
before-hook-creation → borra el claim en cada upgrade → finalizer
cleanup-logical rotaba credenciales + atoraba release en pending-upgrade.

Cambios:
- helm/APP_NAME/templates/addonclaim.yaml eliminado.
- manifests/addonclaim.yaml creado con placeholders sed.
- scripts/pre-helm-detach.sh idempotente para migracion v1.0.0 → 1.1.0.
- .gitea/workflows/APP_NAME-build.yaml: 2 nuevos steps detach + apply
  AddonClaim entre kubeconfig y helm upgrade.
- Chart.yaml bump 0.2.0 → 0.3.0.
- README reescrito (3 pasos workflow + tabla hooks sin AddonClaim +
  seccion Por que FUERA del chart + opt-out actualizado).
- Comentarios stale del AddonClaim como hook -10 limpiados en
  networkpolicy.yaml, role-db-secret-reader.yaml, job-alembic-upgrade.yaml.

ADR-066 del IDP documenta la decision arquitectural completa.

helm/APP_NAME/templates/networkpolicy.yaml

@@ -12,7 +12,10 @@
 # NetworkPolicy nunca se aplica en la fase principal.
 #
 # Weight ordering (mas chico = antes):
-#   -10 AddonClaim -> -8 NetworkPolicy -> -7 Role/RoleBinding -> -5 SA -> 0 Job Alembic
+#   -8 NetworkPolicy -> -7 Role/RoleBinding -> -5 SA -> 0 Job Alembic
+# (El AddonClaim vive FUERA del chart desde 0.3.0 — ADR-066. Lo aplica el
+# workflow del tenant ANTES de `helm upgrade --install`, asi que en la fase
+# de hooks ya existe y addon-provisioner ya esta reconciliando.)
 #
 # delete-policy: before-hook-creation (NO hook-succeeded): la fase principal del
 # Deployment necesita la NetworkPolicy viva en runtime; solo se borra/recrea al