chore: import DH V2 D5.6.4 production baseline

docs/PHASE_D4.md

@@ -0,0 +1,62 @@
+# Fase D4 — Evidencias y comunicaciones
+
+Versión: `0.18.0`
+
+## Objetivo
+
+Incorporar fotografías, documentos y comunicaciones a cada hallazgo sin
+alterar el modelo definitivo:
+
+`visita → acta única → múltiples hallazgos → evidencias → firma y envío → informe`.
+
+## Evidencias
+
+- múltiples fotografías JPG, PNG o WebP por hallazgo;
+- documentos PDF de campo, respuesta empresarial u otras comunicaciones;
+- archivo original, autor, fecha, dispositivo, origen y SHA-256;
+- GPS WGS84 y precisión opcionales;
+- almacenamiento autenticado dentro del volumen persistente existente;
+- vista y descarga sin exponer rutas físicas ni URL públicas.
+
+Las evidencias son inmutables. La API runtime solamente puede leerlas e
+insertarlas: no puede modificarlas ni borrarlas.
+
+## Comunicaciones
+
+Cada hallazgo abierto admite un historial cronológico con:
+
+- sentido recibido, enviado o interno;
+- medio email, presencial, teléfono, nota formal, sistema u otro;
+- tipo respuesta empresarial, notificación, seguimiento u otro;
+- fecha y hora, asunto, detalle y contacto;
+- uno o más documentos vinculados.
+
+Una respuesta empresarial debe ser recibida. Su PDF sólo se acepta como
+documento válido y vinculado a esa comunicación. Registrar la respuesta o su
+PDF no cierra el hallazgo.
+
+## Reglas de campo
+
+- fotografías y documentos de observación sólo durante la visita en curso,
+  con acta en borrador y usuario asignado o con gestión general;
+- comunicaciones y documentos posteriores pueden incorporarse mientras el
+  hallazgo permanezca abierto;
+- auditor conserva acceso de sólo lectura;
+- cada alta genera un evento de auditoría con el vínculo acta/visita/hallazgo.
+
+## Seguridad
+
+- validación por bytes mágicos, no por extensión declarada;
+- límite de 15 MB;
+- nombres físicos aleatorios y permisos `0600`;
+- coordenadas completas y precisión controlada;
+- vínculo compuesto que impide adjuntar un documento a una comunicación de
+  otro hallazgo;
+- respuestas empresariales restringidas a PDF;
+- `Cache-Control: private, no-store`, `nosniff` y sandbox para el contenido.
+
+## Límites de D4
+
+D4 no cierra el acta ni genera firmas. D5 incorporará responsable empresarial,
+firmas manuscritas, negativa o ausencia de firma y congelamiento coordinado de
+la visita, el acta, los hallazgos y sus evidencias.