feat: uMind pasa a multi-agente por tenant

Un tenant (negocio/sitio, dueño de los dominios permitidos) puede tener
varios UmindAgente independientes (ej. "Ventas", "Soporte"), cada uno con
su propia config de IA, tono, base de conocimiento, tools, canales y
conexión de correo. El site_key también pasa a ser por agente, así cada
uno tiene su propio <script> de widget embebible y su propio color.

Backend:
- Nuevo modelo UmindAgente (pkg/models/umind_agente.go), con SiteKey,
  AiConfigID, Tono, MensajeBienvenida y Color — campos que antes vivían en
  UmindTenant y se sacan de ahí (las columnas viejas quedan huérfanas sin
  usar, no se hace DROP COLUMN).
- UmindDocumento, UmindChunk, UmindHerramienta, UmindCanal, UmindConexion y
  UmindMensaje pasan de TenantID a AgenteID. El campo se agrega sin
  "not null" para no romper el ALTER TABLE en Postgres sobre tablas que ya
  tienen filas (ej. emetropolitana).
- migrations.MigrarUmindAgentes(): idempotente, crea un agente "Principal"
  por cada tenant existente heredando lo que ya tenía configurado, y mueve
  sus datos de tenant_id a agente_id. Corre en cada arranque normal, mismo
  criterio que los Seed* — nada se rompe para los tenants ya en producción.
- Motor del agente, widget, canales (Telegram/WhatsApp) y OAuth de correo
  ahora operan sobre UmindAgente; el tenant solo se consulta para el
  chequeo de dominio permitido y el nombre del negocio que ve el visitante.

Frontend: nueva jerarquía de navegación tenant → lista de agentes
(TenantAgentes.vue) → detalle de un agente (AgenteDetail.vue, antes
TenantDetail.vue) con las mismas 6 tabs de siempre, ahora por agente. El
modal de tenant en el sidebar se achica a nombre/dominios/activo.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

pkg/services/umind_oauth_service.go

@@ -38,15 +38,15 @@ type CorreoResumen struct {
 var umindOAuthHTTPClient = &http.Client{Timeout: 15 * time.Second}
 
 // firmarState / verificarState arman el parámetro state del flujo OAuth
-// autoverificable (tenantID + nonce + HMAC con APP_KEY) — evita necesitar una
+// autoverificable (agenteID + nonce + HMAC con APP_KEY) — evita necesitar una
 // tabla de "estados pendientes": si la firma es válida, el state no fue
 // alterado desde que lo generamos nosotros.
-func firmarState(tenantID uint) (string, error) {
+func firmarState(agenteID uint) (string, error) {
 	nonce := make([]byte, 8)
 	if _, err := rand.Read(nonce); err != nil {
 		return "", err
 	}
-	payload := fmt.Sprintf("%d.%s", tenantID, hex.EncodeToString(nonce))
+	payload := fmt.Sprintf("%d.%s", agenteID, hex.EncodeToString(nonce))
 	mac := hmac.New(sha256.New, []byte(app.Http.Server.Key))
 	mac.Write([]byte(payload))
 	return payload + "." + hex.EncodeToString(mac.Sum(nil)), nil
@@ -64,11 +64,11 @@ func verificarState(state string) (uint, error) {
 	if !hmac.Equal([]byte(esperada), []byte(partes[2])) {
 		return 0, fmt.Errorf("firma de state inválida")
 	}
-	tenantID, err := strconv.ParseUint(partes[0], 10, 64)
+	agenteID, err := strconv.ParseUint(partes[0], 10, 64)
 	if err != nil {
-		return 0, fmt.Errorf("tenant_id inválido en state: %w", err)
+		return 0, fmt.Errorf("agente_id inválido en state: %w", err)
 	}
-	return uint(tenantID), nil
+	return uint(agenteID), nil
 }
 
 func redirectURLOAuth(proveedor string) string {
@@ -116,12 +116,12 @@ func oauth2ConfigPara(proveedor string) (*oauth2.Config, error) {
 // redirigir al staff. prompt=consent en Google fuerza a que siempre vuelva
 // un refresh_token (si no, Google solo lo manda la primera vez que el
 // usuario autoriza la app, nunca más).
-func IniciarConexionOAuth(proveedor string, tenantID uint) (string, error) {
+func IniciarConexionOAuth(proveedor string, agenteID uint) (string, error) {
 	cfg, err := oauth2ConfigPara(proveedor)
 	if err != nil {
 		return "", err
 	}
-	state, err := firmarState(tenantID)
+	state, err := firmarState(agenteID)
 	if err != nil {
 		return "", err
 	}
@@ -134,9 +134,9 @@ func IniciarConexionOAuth(proveedor string, tenantID uint) (string, error) {
 
 // CompletarConexionOAuth intercambia el code por tokens, identifica la
 // cuenta conectada y guarda la conexión cifrada. Reemplaza cualquier
-// conexión previa activa del tenant (una cuenta de correo a la vez).
+// conexión previa activa del agente (una cuenta de correo a la vez).
 func CompletarConexionOAuth(proveedor, code, state string) (*models.UmindConexion, error) {
-	tenantID, err := verificarState(state)
+	agenteID, err := verificarState(state)
 	if err != nil {
 		return nil, fmt.Errorf("state inválido: %w", err)
 	}
@@ -166,11 +166,11 @@ func CompletarConexionOAuth(proveedor, code, state string) (*models.UmindConexio
 		return nil, err
 	}
 
-	if err := models.DesactivarConexionesDelTenant(tenantID); err != nil {
-		log.Printf("[UMIND_OAUTH] no se pudieron desactivar conexiones previas del tenant %d: %v", tenantID, err)
+	if err := models.DesactivarConexionesDelAgente(agenteID); err != nil {
+		log.Printf("[UMIND_OAUTH] no se pudieron desactivar conexiones previas del agente %d: %v", agenteID, err)
 	}
 	conexion := &models.UmindConexion{
-		TenantID:        tenantID,
+		AgenteID:        agenteID,
 		Proveedor:       proveedor,
 		Email:           email,
 		AccessTokenEnc:  accessEnc,