feat: asignaciones obligaciones/tareas + fixes backend

- Migracion 046: tablas obligacion_asignaciones y tarea_asignaciones
- Servicio y controller de asignaciones (CRUD + listados)
- Fix: enviar correo welcome al invitar usuario nuevo
- Fix: quitar JOIN users de queries tenant (usar Prisma en BD central)
- Fix: req.params.obligacionId correcto en asignaciones controller
- Fix: orden rutas estaticas antes de dinamicas en cartera.routes
- Fix: owner/cfo ven todas las asignaciones en getAsignacionesPorSupervisor
- Fix: validar que entidad pertenezca a cartera padre en subcartera
- Nuevo endpoint GET /carteras/asignaciones/sin-asignar
- Nuevo endpoint GET /tareas/mis-tareas

apps/api/src/services/cartera.service.ts

@@ -110,6 +110,17 @@ export async function deleteCartera(pool: Pool, id: string): Promise<boolean> {
 
 // Entidades in cartera
 export async function addEntidadToCartera(pool: Pool, carteraId: string, entidadId: string): Promise<void> {
+  // Si es subcartera, validar que la entidad pertenezca a la cartera padre
+  const cartera = await getCarteraById(pool, carteraId);
+  if (cartera?.parentId) {
+    const { rows } = await pool.query(
+      'SELECT 1 FROM cartera_entidades WHERE cartera_id = $1 AND entidad_id = $2',
+      [cartera.parentId, entidadId],
+    );
+    if (rows.length === 0) {
+      throw new Error('La entidad no pertenece a la cartera padre de esta subcartera');
+    }
+  }
   await pool.query('INSERT INTO cartera_entidades (cartera_id, entidad_id) VALUES ($1, $2) ON CONFLICT DO NOTHING', [carteraId, entidadId]);
 }