# Roadmap para comercialización

## P0 — antes de exponer a clientes

1. **Seguridad de acceso.** Eliminar cuentas y contraseñas fallback del código,
   exigir secretos en producción, cookies `secure`/`httpOnly`/`sameSite`, HTTPS,
   CORS por allowlist, cabeceras de seguridad y protección CSRF.
2. **Aislamiento de clientes.** Añadir organizaciones, membresías y roles; todas
   las entidades configurables (filtros, favoritos, notas, alertas y exports)
   necesitan `organization_id` o `user_id`. Hoy los usuarios comparten datos.
3. **Legal y cumplimiento.** Documentar para cada fuente términos de uso,
   robots, base jurídica, retención y procedimiento de retirada. Definir DPA,
   privacidad, cookies y trazabilidad de exportaciones.
4. **Integridad de datos.** Versionar ejecuciones por portal/operación/zona,
   conservar cobertura y resultado, y archivar solo el alcance completado. Un
   challenge o un lote parcial nunca debe interpretarse como retirada.
5. **Operación recuperable.** Backups probados, migraciones versionadas,
   health/readiness, alertas por ausencia de datos y runbooks de incidentes.

## P1 — producto vendible

1. Onboarding de organización, invitaciones, recuperación de contraseña y MFA
   para administradores.
2. Planes, límites de uso, facturación, periodos de prueba y medición de consumo
   (zonas, fuentes, usuarios, exports y alertas).
3. Alertas configurables por email/webhook, preferencias por usuario y registro
   de entrega/reintentos.
4. Calidad visible: frescura, cobertura, última ejecución, tasa de éxito,
   anuncios nuevos/actualizados/retirados y motivo de degradación por fuente.
5. API pública versionada con claves por organización, cuotas, idempotencia y
   documentación OpenAPI.
6. Tests de contrato con fixtures HTML por portal, E2E de los flujos críticos y
   despliegue con staging/canary.

## P2 — diferenciación

1. Deduplicación entre portales explicable, historial de precios y alertas de
   bajada con puntuación de confianza.
2. CRM ligero: pipeline, responsable, tareas, llamadas y notas auditables.
3. Enriquecimiento geográfico y de mercado con procedencia y licencia claras.
4. Panel ejecutivo por cartera/municipio/agente y exportaciones programadas.
5. Arquitectura de workers/colas para separar web, scraping, postprocesado y
   notificaciones; escalado y reintentos independientes.

## Criterio de salida inicial

Una primera versión comercial debería tener al menos un piloto con fuentes y
zonas contractualmente aceptadas, aislamiento multi-tenant, seguridad P0,
backup restaurado en prueba, métricas de cobertura/frescura y soporte operativo.