feat: AddonClaim + InitContainer wait-for-secret en chart helm

Cierra GOLDEN-PATH-ADDONCLAIM-MISSING (P0 hands-off pipeline).

Cambios:
- helm/APP_NAME/templates/addonclaim.yaml (NEW): hook pre-install/pre-upgrade
  weight -10, SIN delete-policy (sobrevive upgrades, evita disparar finalizer
  cleanup-logical). Gated por .Values.database.enabled (default true).
- helm/APP_NAME/templates/role-db-secret-reader.yaml (NEW): Role + RoleBinding
  weight -7 que permite al SA leer el Secret <release>-db-creds. Lo consume
  el InitContainer wait-for-secret del Job Alembic.
- helm/APP_NAME/templates/job-alembic-upgrade.yaml: gated por
  database.enabled, anade InitContainer wait-for-secret (48x5s=240s) que
  espera a que addon-provisioner publique el Secret tras reconciliar el
  AddonClaim. Absorbe la latencia del @kopf.timer (RECONCILE_INTERVAL 300s
  + initial_delay 60s) sin tocar el operator.
- helm/APP_NAME/values.yaml: bloque database completo (enabled, addonType,
  databaseName, user.permissions, deletionPolicy Retain). Opt-out con
  database.enabled=false + alembic.enabled=false.
- .gitea/workflows/APP_NAME-build.yaml: helm timeout 5m -> 7m (margen para
  reconcile addon-provisioner + StatefulSet ready + DDL Job + Alembic).
- claim-mariadb.yaml (DELETED): obsoleto - estaba en la raiz del template
  y nunca se renderizaba por helm. Reemplazado por addonclaim.yaml dentro
  del chart helm.
- README.md: documenta nueva tabla de hook weights, opt-out database, y
  trade-off del orphan AddonClaim post-uninstall (cleanup explicito).

Decision arquitectural: Opcion D modificada (Opus 4.6 consult).

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

helm/APP_NAME/values.yaml

@@ -18,7 +18,24 @@ goldenPath: web-backend
 goldenPathLang: python
 
 database:
+  # Si enabled=false: no se aplica AddonClaim, no se crea Role/RoleBinding,
+  # ni corre el Job Alembic. El shape web-backend/python es BD-first por
+  # diseño, asi que el default es true. Para una app stateless, el dev
+  # opt-out poniendo database.enabled=false (y alembic.enabled=false).
+  enabled: true
+  # Tipo de add-on solicitado al addon-provisioner. R1 solo soporta mariadb.
+  addonType: mariadb
+  # Nombre del Secret a publicar en el ns `apps` con el connection string.
+  # El Job Alembic y el Deployment lo montan via envFrom.
   secretName: __APP_NAME__-db-creds
+  # Nombre de la BD logica. Vacio -> addon-provisioner deriva del Release.Name
+  # (snake_case + "_db"). Ver template addonclaim.yaml.
+  databaseName: ""
+  user:
+    permissions: rw          # rw | ro
+  # Retain (default) | Delete — ver ADR-052 §6.2. Retain preserva la BD
+  # logica si el claim se borra (recomendado para PoC/free-trial).
+  deletionPolicy: Retain
 
 config:
   logLevel: INFO