sync: GOLDEN-PATH-CHART-HOOK-ORDER + ADDON-PROVISIONER-IMPL — desde coralware/IDP@9f03643

Sincroniza desde el monorepo IDP la corrección del hook-order del ServiceAccount
(hook pre-install/pre-upgrade, weight -5) que destraba el helm install del
golden-path sin --no-hooks. Cierre del 4º gap del pipeline tenant hands-off:
el smoke E2E valida ahora la cadena completa (addon-provisioner materializa
MariaDB; AddonClaim publica DATABASE_URL en apps).

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

helm/APP_NAME/templates/deployment.yaml

@@ -67,13 +67,11 @@ spec:
         - name: tmp
           emptyDir: {}
 ---
-apiVersion: v1
-kind: ServiceAccount
-metadata:
-  name: {{ .Release.Name }}
-  labels:
-    {{- include "app.labels" . | nindent 4 }}
----
+# El ServiceAccount {{ .Release.Name }} NO se define aqui — vive en
+# serviceaccount.yaml como hook pre-install/pre-upgrade (hook-weight "-5") para
+# garantizar que exista antes del Job Alembic. El Deployment lo referencia en
+# `serviceAccountName` y el SA-hook usa `hook-delete-policy: before-hook-creation`
+# para no quedar huerfano entre upgrades.
 apiVersion: v1
 kind: ConfigMap
 metadata: