v0.15.3

El registro ya no acepta companyId/role; la elección de tenant y de rol ocurre solo a través de una invitación autenticada.
Las sesiones JWT heredadas se revalidan contra un usuario existente, activo y no eliminado; los headers de identidad se derivan de la credencial, no de las claims.
El offboarding de empresa revoca los tokens del tenant, suspende el tenant en el Engine y luego desactiva los datos locales en una sola transacción.
Los OpenBao Agents ahora entregan los secretos del SaaS; los archivos de unit y los ejemplos versionados ya no contienen credenciales.

El teardown de los tests de audit_logs desactiva el trigger de la cadena además del guard de fila, para que el contrato append-only siga siendo significativo en los tests.
Se eliminaron dos claves de i18n huérfanas.
El aprovisionamiento de la base de datos de test otorga al rol de la aplicación los privilegios de schema que tiene en producción.

Suite unitaria completa en verde en la base de datos de CI aislada, con el rol ci: 896 pass, 0 fail. Typecheck y lint en verde (lint: 0 errores).