Demo sin backend: la sesión es local. En piloto real se conecta a RBAC/SSO.