feat(F-001): scaffold modular monolith skeleton with boundary checker

- TypeScript + Fastify skeleton under project/ (src/modules, shared, infrastructure, app)
- scripts/check-module-boundaries.mjs enforcing module public-API rules (tested with fixtures)
- GET /health endpoint, error envelope without stack leakage
- specs/F-001-scaffold (SPEC/DESIGN/TASKS/TESTS), spec/tech.md dependency justification
- 30-ticket MercadoDeVida roadmap in backlog/features.json, spec/roadmap.md
- All gates approved: reviewer, security, qa; verify.sh green

harness/policies/governance.md

@@ -0,0 +1,16 @@
+# Governance Policy
+
+## Reglas
+- Una sola feature activa (`in_progress`) a la vez.
+- El pipeline es secuencial con gates obligatorios.
+- `done` solo por `leader` y solo con evidencia completa.
+
+## Separación de funciones
+- Implementer construye.
+- Reviewer/Security/QA validan.
+- Leader decide cierre.
+
+## Prohibiciones
+- Saltar gates.
+- Aprobar con evidencia incompleta.
+- Cerrar con `verify.sh` en rojo.

harness/policies/quality.md

@@ -0,0 +1,12 @@
+# Quality Policy
+
+## Gate QA (obligatorio)
+Cada feature debe tener `work/artifacts/<feature_id>/qa.json` con:
+- `verdict`: APPROVED | CHANGES_REQUESTED
+- trazabilidad criterio de aceptación -> test
+- resultado de pruebas integración/E2E relevantes
+
+## Reglas
+- No hay `done` sin cobertura mínima de acceptance.
+- No hay `done` con regresiones abiertas.
+- Claims sin evidencia ejecutable no son válidos.

harness/policies/security.md

@@ -0,0 +1,12 @@
+# Security Policy
+
+## Gate de seguridad (obligatorio)
+Cada feature debe tener `work/artifacts/<feature_id>/security.json` con:
+- `verdict`: APPROVED | CHANGES_REQUESTED
+- `checks`: secretos, dependencias, SAST básico, validación de inputs
+- `findings`: lista de hallazgos con severidad
+
+## Reglas
+- Si hay hallazgos críticos/altos sin mitigación: `CHANGES_REQUESTED`.
+- No se permite exponer credenciales ni secretos en repo/chat.
+- Dependencias nuevas requieren justificación en `spec/tech.md`.