feat(docs-portal): pipeline GitOps y manifiestos K8s para el portal MkDocs

Agrega lo que faltaba para desplegar workloads/docs-portal/ (ya existente
sin commitear): deployment/service/ingress + kustomization siguiendo el
patrón de workloads/nginx, Applications de workload y gobernanza
separadas, y el workflow de Gitea Actions (build+push a Gitea Registry,
bump de versión en el manifiesto) siguiendo el mismo patrón que
build.yaml/build-medusa.yaml.

workloads/docs-portal/docs/decisiones/0002-por-que-argocd-vs-manual.md

@@ -0,0 +1,30 @@
+# ADR 0002 — Por qué Argo CD (y no `kubectl apply` manual o un script de CI)
+
+> **TODO (fase 2+):** completar con el criterio real detrás de elegir
+> reconciliación continua (`selfHeal`) sobre despliegue imperativo desde
+> CI.
+
+**Estado:** aceptada (placeholder — pendiente de redactar)
+**Fecha:** TODO
+
+## Contexto
+
+TODO
+
+## Opciones consideradas
+
+| Opción | A favor | En contra |
+|---|---|---|
+| Argo CD (GitOps, pull-based) | | |
+| `kubectl apply` manual | | |
+| `kubectl apply` desde el pipeline de CI (push-based) | | |
+
+## Decisión
+
+TODO
+
+## Consecuencias
+
+TODO — mencionar el patrón App of Apps (`application.yaml` +
+`apps/*.yaml`) y cómo `selfHeal:true` cambia el modelo mental de
+"quién puede tocar el cluster".