Instrumento v2: 44 preguntas + widget text_short

docs/adr/ADR-001-privacidad-y-gobierno-de-datos.md

@@ -84,6 +84,19 @@ compartidos; la inspección fila-por-fila es solo análisis interno (Modo A).
 Las preguntas abiertas no se exponen crudas a reportes (vector de re-identificación). Se categorizan
 antes (a futuro, vía LLM — está en BACKLOG).
 
+### 11. Salary range — dato de acceso analyst-only (addendum Jun 2026)
+La pregunta `3.4` captura la franja salarial del respondente. Es el dato clave para calcular la
+"carga económica del cuidado como % del ingreso" — núcleo del argumento de la economía del cuidado.
+Decisión del equipo:
+- Se recolecta y almacena en `answers.value` como cualquier respuesta. `is_sensitive=true`.
+- Acceso: **exclusivamente rol analyst** (vía `service_role`, que bypassa RLS). Nunca expuesto
+  a org_admin — ni en vistas crudas ni en funciones de agregación accesibles a ese rol.
+- Ninguna llamada a `agg_segment` ni ningún reporte de org_admin incluye salary como dimensión
+  o como valor. El GRANT existente ya lo bloquea (org_admin tiene 0 filas en `answers`).
+- Protección "técnicamente casi imposible": RLS bloquea el path de org_admin + cifrado en reposo
+  de Supabase + audit logs de accesos. Riesgo de breach externo es categoría separada
+  (plan de respuesta a incidentes, fuera del scope de este ADR).
+
 ## Alcance de esta etapa (v1)
 Solo **Modo A**, solo encuestas **anónimas**, **sin Nivel 3 atribuible**. El esquema soporta más
 (controller_role, respondent_id) pero v1 no lo opera. Principio: el esquema guarda la opción, estos
@@ -107,4 +120,4 @@ datos puntuales no la usan.
   costo correcto de la privacidad.
 
 ## Pendiente
-Validación del flujo de consentimiento y del lenguaje legal con asesor paraguayo antes de producción.
+Validación del flujo de consentimiento y del lenguaje legal con asesor paraguayo antes de producción.