@@ -108,6 +108,7 @@ db-mysql/
 | 2026-10-05 | `20261005_add_demo_reset_log.sql`                       | Crea `demo_reset_log`: un registro por cada reinicio diario de la demo y por cada base de horarios guardada (ADR-038). La base vive en tablas `demo_snapshot_scheduling_*` que crea el backend al guardarla. Hay que aplicarla antes de desplegar el código. `CREATE TABLE IF NOT EXISTS`. | ✅ local · ✅ Aiven |
 | 2026-10-05 | `20261005_complete_fresh_install.sql`                   | Completa una instalación desde cero: el baseline congelado no crea `cashier_history` (nombre de clave duplicado), `scheduling_assignments` (referencia a una tabla creada después) ni `demo_activity_log`, y deja `roles.name` en `varchar(50)`. Definiciones copiadas de Aiven. En Aiven no cambia nada; en local creó `demo_activity_log`, que faltaba. `pnpm setup:local` además corrige esos dos fallos del baseline en memoria. | ✅ local · ✅ Aiven (sin cambios) |
 | 2026-10-05 | `20261005_fix_bo_monthly_summary_view.sql`              | Recrea `v_bo_monthly_summary` con `period` en el `GROUP BY`. Con `ONLY_FULL_GROUP_BY` (activo en Aiven y local) toda consulta a la vista fallaba con el error 1055 y `GET /api/backoffice/stats/monthly` respondía siempre 500. Mismas columnas y mismos grupos; comprobada contra un cálculo directo sobre `bo_invoices`. | ✅ local · ✅ Aiven |
+| 2026-10-05 | `20261005_drop_demo_admin_role.sql`                     | Borra el rol `demo-admin` si ningún usuario lo tiene (ADR-038): la cuenta demo es un admin con `is_demo` y el código ya no conoce ese rol. En local no existía. | ✅ local (sin cambios) · ⏳ Aiven |
 
 ### Verificación (99)
 
 
@@ -244,7 +244,8 @@
 
 ## ADR-015 — Una sola base de datos: Aiven, con datos de prueba
 
-- **Estado:** ✅ aceptada (2026-09-28)
+- **Estado:** ✅ aceptada (2026-09-28) · 📌 BD local revisada por
+  [ADR-039](#adr-039--la-bd-local-vuelve-como-instalación-documentada-aiven-sigue-siendo-la-única-compartida)
 - **Fecha:** 2026-09-28
 - **Decisión:** el proyecto trabaja contra **una única BD, la de Aiven**, que
   solo contiene datos de ejemplo. No se mantiene una BD local de desarrollo ni
@@ -817,3 +818,27 @@
   el solver y las escrituras del usuario demo. El README pasa a explicar la
   instalación local.
 - **Revisa:** ADR-037 en los usuarios demo y su acceso.
+
+## ADR-039 — La BD local vuelve como instalación documentada; Aiven sigue siendo la única compartida
+
+- **Estado:** ✅ aceptada (2026-10-05)
+- **Fecha:** 2026-10-05
+- **Decisión:**
+  - **Aiven** sigue siendo la única BD del proyecto que se comparte:
+    producción, preview y la demo pública.
+  - **La BD local** vuelve a ser parte documentada del proyecto: quien clona el
+    repositorio la monta con `pnpm setup:local` (con MySQL propio o en Docker)
+    y el propietario puede seguir usando la suya con `pnpm dev:local`. Se
+    mantienen `DB_ENVIRONMENT`, el preset `local` y `LOCAL_DB_*`.
+- **Motivo:** ADR-038: quien quiera ver la aplicación entera la instala en
+  local con un admin completo. Y lo que ADR-015 rechazaba ya existe: una
+  instalación desde los scripts del repositorio, comprobada el 2026-10-05 en
+  un MySQL limpio, deja la misma estructura que Aiven (1161 de 1161 columnas,
+  índices, claves, triggers y procedimientos) y los mismos catálogos.
+- **Rechazado:** quitar el soporte de BD local (la tarea pendiente de
+  ADR-015).
+- **Consecuencias:** las migraciones se siguen aplicando en local y en Aiven
+  (`INDEX.md`). Dos fallos del baseline congelado, que impedían instalar desde
+  cero, se corrigen en `setup:local` y con
+  `20261005_complete_fresh_install.sql` sin tocar `aiven/` (ADR-021).
+- **Revisa:** ADR-015 en la BD local.
@@ -65,5 +65,7 @@ rotación de credenciales (ADR-007) no bloquea: va en «Después de publicar» d
 Que cualquiera pruebe la aplicación en la propia web, que es solo un escaparate
 (ADR-037): un admin demo restringido que entra con un botón, datos ficticios,
 generación de horarios y reinicio diario; y quien quiera verlo todo lo instala
-en local con admin completo (ADR-038). Pasos en `TODO.md`, «Demo pública en la
-propia web». El repositorio se hace público cuando la demo esté lista.
+en local con admin completo (ADR-038, ADR-039). Hecho en código y probado en
+preview el 2026-10-05; lo que falta, en `TODO.md`, «Demo pública en la propia
+web: lo que falta». El repositorio se hace público cuando la demo esté en
+producción.
@@ -21,7 +21,12 @@ y auditado (`GITCLEAN.md`).
 El historial limpio está en `bpstack/four-points`, **todavía privado**. El
 original sigue privado como `four-points-archive`. Vercel y Render despliegan ya
 desde el nuevo, en producción y en preview (`VERIFY.md`, «Cambio al repositorio
-nuevo»). Decisiones en `DECISIONS.md`, hasta ADR-038.
+nuevo»). Decisiones en `DECISIONS.md`, hasta ADR-039.
+
+La demo pública (fase 5) está hecha en código y probada en preview el
+2026-10-05: cuenta demo con botón, bloqueos, límites, reinicio diario,
+Configuración → Demo, instalación local con `pnpm setup:local` y `demo-admin`
+retirado. `DEMO_MODE` y `NEXT_PUBLIC_DEMO_MODE` solo están en preview.
 
 ## ⚠️ Empieza por aquí
 
@@ -38,10 +43,12 @@ nuevo»). Decisiones en `DECISIONS.md`, hasta ADR-038.
 
 ## Siguiente
 
-1. Construir la demo en la propia web, paso a paso: `TODO.md`, «Demo pública
-   en la propia web» (ADR-037, ADR-038). Empieza por la marca `is_demo`.
-2. Pasar `four-points` a público y activar secret scanning y push protection.
-3. «Después de publicar» de `TODO.md`, empezando por la rotación de
+1. Terminar la demo: `TODO.md`, «Demo pública en la propia web: lo que
+   falta» (base de horarios, migración del rol en Aiven, variables en
+   producción tras el merge).
+2. PR a `main` y probar el botón demo en la web.
+3. Pasar `four-points` a público y activar secret scanning y push protection.
+4. «Después de publicar» de `TODO.md`, empezando por la rotación de
    credenciales (se puede adelantar).
 
 Hecho el 2026-10-05: Vercel y Render despliegan solos desde este repositorio
@@ -64,6 +71,10 @@ Nada ahora mismo.
   `SCHEDULING-CONSTRAINTS.md §7.5`** en un comentario: los scripts 01–19 no se
   tocan (ADR-021). La sección equivalente es
   `docs/scheduling/constraints.md §7.5`.
+- **La cuenta demo es un admin** (`users.is_demo = 1`): lo que no deba tocar
+  se bloquea en la ruta con `denyDemo`/`denyDemoWrites` o en
+  `demoRestriction`. Una ruta nueva que escriba fuera de lo que reinicia el
+  mock (usuarios, catálogos, configuración) necesita su guarda.
 - **Enlaces rotos conocidos** tras archivar: `backend/README.md` (enlaces a
   `docs/backend/…`) y comentarios que citan `Global-Plan.md` o
   `SCHEDULING-SOLVER-PLAN.md`. Se arreglan al escribir cada módulo (ADR-010).
 
@@ -136,15 +136,6 @@ sigue siendo donde se arregla este fichero y se prueba en el entorno preview.
       `PK-AAAAMMDD` del trigger, `CURRENT_TIMESTAMP` de las tablas) van 1–2 h
       por detrás de Madrid: entre las 00:00 y las 02:00 «hoy» sigue siendo ayer.
       _Comprobado el 2026-09-28._
-- [ ] **Quitar el soporte de BD local del código** (ADR-015) — `DB_ENVIRONMENT`
-      y el preset `local` de `backend/config/db.ts`, el script `dev:local`, las
-      variables `LOCAL_DB_*` y las menciones a «local primero» en
-      `backend/db-mysql/`.
-- [ ] **Comprobar que los scripts del repo reproducen Aiven** — hoy Aiven es la
-      única BD y `backend/db-mysql/` la fuente de verdad (ADR-016), pero nadie
-      ha verificado que coincidan. Pista: la BD local, instalada desde esos
-      scripts, difería de Aiven en `demo_activity_log`, `notifications.module`,
-      `roles.name` y 7 claves foráneas (comparación del 2026-09-28).
 - [ ] **Logbook: papelera e historial solo ocultos en la pantalla** — el backend
       da `/trashed`, `include_trashed`, el historial y los comentarios de
       entradas borradas a cualquier rol con acceso. _Según la revisión
@@ -288,6 +279,20 @@ sigue siendo donde se arregla este fichero y se prueba en el entorno preview.
 
 ### 🟢 Baja
 
+- [ ] **`excludeMantenimiento` es una lista de exclusión** — parking, lista
+      negra, caja, partes, conciliación y departamentos dejan pasar cualquier
+      rol salvo `mantenimiento`, y `services/auth/module-access.ts` lo replica.
+      Hoy solo hay roles conocidos (el rol va en el token firmado y sale de
+      `roles`), pero un rol nuevo tendría acceso sin que nadie lo decida. Pasar
+      a lista de permitidos. _Comprobado el 2026-10-05 al retirar
+      `demo-admin`._
+- [ ] **`20260512_disable_demo_user.sql` desactivaría la cuenta demo** si se
+      volviera a ejecutar (`UPDATE users SET is_active = 0 WHERE username =
+      'demo'`). `setup:local` no la ejecuta (es anterior al baseline); no
+      aplicarla a mano. _Comprobado el 2026-10-05._
+- [ ] **Configuración: `?tab=` de una pestaña sin permiso deja el contenido en
+      blanco** — p. ej. recepción con `?tab=users`; debería caer en la primera
+      pestaña disponible. _Visto el 2026-10-05._
 - [ ] **Scheduling: vista de solo lectura para los demás roles** — hoy
       `/dashboard/scheduling` es solo de `admin` y el resto no ve el cuadrante.
       El dueño quiere que los demás (salvo `mantenimiento`) vean el cuadrante
@@ -299,57 +304,23 @@ sigue siendo donde se arregla este fichero y se prueba en el entorno preview.
       pestaña muestra las rechazadas. Una factura incorrecta hoy se borra. El
       dueño decidió el 2026-10-04 no añadirlo porque casi nunca pasa; si se
       añade, hace falta también reabrir (`rejected` → `pending`).
-- [ ] **Demo pública en la propia web** (fase 5 de `ROADMAP.md`, ADR-037 y
-      ADR-038) — la web es solo un escaparate, así que la demo va en
-      `four-points.stackbp.es` con su BD. Un paso por PR, probado en preview:
-      1. **Marca `is_demo`** en `users` (migración en `scripts/`), en el token y
-         en un middleware que bloquea, para usuarios demo: `/api/users` (salvo
-         lecturas), `/api/auth/register`, `/api/auth/me/*`, escrituras en
-         `/api/departments`, toda petición `multipart`, `/api/demo-activity` y
-         la configuración de horarios (turnos, `config`, empleados y
-         contratos). Tests de cada bloqueo y de que el resto pasa.
-      2. **Un solo usuario demo, rol admin**, con contraseña aleatoria que nadie
-         conoce. Ruta de entrada sin contraseña y botón «Probar la demo» en el
-         login, los dos solo con `DEMO_MODE=true`; la ruta con límite propio.
-         Las cuentas del dueño (`admin`, `qa_*`) siguen aparte.
-      3. **Límites:** generar horarios unas 5 veces por hora por IP y usuario
-         (el solver ya tiene 30 s de máximo y va de uno en uno; Render
-         gratuito tiene 512 MB) y escrituras más estrictas para el usuario
-         demo.
-      4. **Reinicio diario** con la primera entrada a la demo del día: recarga
-         `mock-data.sql` (fechas relativas a hoy; hay que poder ejecutarlo desde
-         Node, y hoy usa `DELIMITER`) y restaura una foto de las tablas de
-         horarios guardada en la BD. La base de horarios se genera una vez con
-         el solver; no se saca de los meses actuales, que vienen de bajas
-         reales. Ojo: el mock elige autores por rol y verá al usuario demo.
-      5. **Instalación local con admin completo:** `docker-compose.yml` solo
-         con MySQL (opcional), `pnpm setup:local` (tablas con
-         `MASTER_INSTALL.sql`, primer admin con contraseña que da quien
-         instala, departamentos y mock) y README en inglés con los pasos y el
-         entorno de Python del solver. Comprobar antes que `MASTER_INSTALL.sql`
-         deja una BD igual que la actual.
-      6. **Seguridad:** test de que un `POST` desde otro origen recibe 403
-         (CSRF) y de que un enlace `javascript:` en las notas del checklist no
-         se ejecuta (XSS).
-      7. **Retirar `demo-admin`** (ver entrada siguiente) y documentar.
-- [ ] **Retirar el rol `demo-admin`** (lo sustituye la marca `is_demo`,
-      ADR-038) — el único usuario con
-      ese rol, `demo`, está desactivado (`is_active = 0`, comprobado en Aiven el
-      2026-10-04). El rol sigue en los middlewares de `roleCheck.ts`, en
-      `demoRestriction` (lista blanca de escrituras y registro de intentos
-      bloqueados), en las rutas `/demo` y en el frontend (`isAdminRole`). Las
-      reglas añadidas el 2026-10-02 ya no lo incluyen. En producción, mientras
-      exista, `demo-admin` entra en backoffice y lee los PDFs de facturas por
-      `/pdf-url`, `/pdf-download` y el ZIP (antes un punto 🔴 aparte; se movió
-      aquí el 2026-10-04 porque no hay ninguna cuenta activa). Retirarlo
-      incluye la migración que quita el usuario `demo` y el rol.
+- [ ] **Demo pública en la propia web: lo que falta** (fase 5 de `ROADMAP.md`,
+      ADR-037 y ADR-038) — el código está hecho y probado en preview el
+      2026-10-05 (cuenta demo, bloqueos, límites, reinicio diario, pestaña
+      Configuración → Demo, `setup:local`). Queda:
+      1. **Base de horarios:** borrar los meses actuales de Aiven (vienen de
+         bajas reales), generar 2 o 3 meses limpios con el solver y pulsar
+         «Guardar horarios actuales como base». Hasta entonces el reinicio no
+         toca horarios y lo que genere un visitante se queda.
+      2. **Aplicar en Aiven `20261005_drop_demo_admin_role.sql`** (borra el rol
+         sin usuarios; enseñar antes qué borra).
+      3. **Producción:** tras el merge, `DEMO_MODE=true` en el servicio de
+         producción de Render y `NEXT_PUBLIC_DEMO_MODE=true` en Production de
+         Vercel (hoy solo están en preview). Probar el botón en la web.
 - [ ] **Conciliation: `GET /api/conciliations` sin paginar ni filtrar** —
       devuelve todo el histórico a cualquier rol con acceso. _Según la revisión
       `security` L3 del 2026-09-28 (fichero y línea en el informe); no repasado
       por mí._
-- [ ] **Backoffice: `demo-admin` ve IBAN, CIF y datos de contacto completos** de
-      los proveedores. _Según la revisión `security` L3 del 2026-09-28 (fichero
-      y línea en el informe); no repasado por mí._
 - [ ] **Checklist: `checklist_config` existe pero no se usa.** _Comprobado por
       mí el 2026-09-28._
 - [ ] **Scheduling: reiniciar un mes no usa transacción** — si falla a mitad, el
 
@@ -231,3 +231,24 @@ Vercel y Render se reconectaron de `four-points-archive` a `bpstack/four-points`
 | `d197ad6` | docs(todo): drop the local path of the harness repository | (documentación) | no aplica | — |
 | `5b216a0` | docs(roadmap): close phases 1c and 2 and make publication current | (documentación) | no aplica | — |
 | `0f237d0` | docs(decisions): record the publication order and when to rotate | (documentación) | no aplica | — |
+| `2009f39` | docs(verify): record the switch to the new repository | (documentación) | no aplica | — |
+| `8194031` | docs(session): move the session to the publication phase | (documentación) | no aplica | — |
+| `0bb4c1f` | fix(db): require the Aiven user and port instead of defaulting them | Puerto y usuario de Aiven por defecto en el código | Producción arranca y conecta tras el merge (PR #2) | ✅ 2026-10-05 |
+| `a474007` | chore(db): rewrite the mock data without users and for the current schema | Datos ficticios para Aiven | Cargado en local y en Aiven; horarios intactos | ✅ 2026-10-05 |
+| `a889999` | docs: plan the demo on the showcase site before going public | (documentación) | no aplica | — |
+| `e332b8a` | docs: settle the demo design and the local install | (documentación) | no aplica | — |
+| `5789e83` | feat(auth): restrict the public demo account with an is_demo flag | Demo: marca `is_demo` y bloqueos | Preview, sesión demo real: 18 rutas, lecturas 200 y bloqueadas 403 | ✅ 2026-10-05 |
+| `a306d36` | docs(db): mark the is_demo migration as applied on Aiven | (documentación) | no aplica | — |
+| `8553963` | fix(auth): answer 403 to blocked demo requests without a JSON body | — | Local: DELETE y subidas bloqueadas dan 403, no 500/401 | ✅ 2026-10-05 |
+| `7507d58` | feat(auth): enter the public demo with one button, without a password | Demo: entrada con botón | Preview: botón visible, entra como Demo · Admin; login con contraseña de `demo` da 401 | ✅ 2026-10-05 |
+| `d8c23af` | feat(auth): rate limit the demo account's writes and schedule generation | Demo: límites | `demo-limits.test.ts` (5/h por IP, 30/h en total, 60 escrituras/15 min) | 🧪 |
+| `db8b356` | feat(demo): reset the demo data daily and from Settings | Demo: reinicio diario | Preview: primer reinicio del día registrado en Aiven (734 ms); local: base de horarios restaurada, fallo deshecho; pestaña Demo solo para admins | ✅ 2026-10-05 |
+| `a2395a7` | docs(db): mark the demo reset log migration as applied on Aiven | (documentación) | no aplica | — |
+| `7e7ed39` | test(auth): mock the demo reset in the login timing test | — | CI en verde | ✅ 2026-10-05 |
+| `ee9cbc0` | fix(db): load the mock data on a database with a single admin | — | `setup:local` en un MySQL limpio carga el mock | ✅ 2026-10-05 |
+| `a8882c4` | feat(db): install a local database from scratch with pnpm setup:local | Demo: instalación local | MySQL 8.0 limpio en Docker: estructura igual que Aiven (1161 de 1161) y mismos catálogos; la app entra con el admin | ✅ 2026-10-05 |
+| `9336716` | feat(db): give the local install a documented admin password | — | `setup-local.test.ts` | 🧪 |
+| `e3a642c` | fix(db): group the backoffice monthly summary view by its period | — (hallazgo del 2026-10-05) | `GET /api/backoffice/stats/monthly` en preview da 200; la vista coincide con un cálculo directo | ✅ 2026-10-05 |
+| `9991d79` | test(security): check the CSRF defence and the session cookies by behaviour | Demo: CSRF | `csrf-origin.test.ts` (servidor Express real), `session-cookies.test.ts`; preview: origen ajeno da 403 | ✅ 2026-10-05 |
+| `4449b7a` | fix(checklist): render unsafe links in step notes as plain text | Demo: XSS | `safe-href.test.ts` (11 URL maliciosas) | 🧪 |
+| `143882d` | refactor(auth): retire the demo-admin role | Retirar `demo-admin` | ⏳ preview tras el push; la migración del rol, pendiente en Aiven | ⏳ |