Demo sin backend: la sesión es local. En piloto real va con SSO/RBAC/bitácora.