feat: version 4.13.0 -- Agregar medicos desde proveedores de SAGA (solo por API)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/CONEXIONES-EXTERNAS.md

@@ -58,6 +58,12 @@ el sistema no cambia. Ver decisión #2 en `DECISIONES.md`.
 
 ## Seguridad (resumen)
 
+- **Regla (usuario, 2026-10-29): todo lo que se busque o traiga de SAGA es por la API del conector**,
+  también las búsquedas que haga Claude a pedido. El SSH al Windows es solo para administrar el
+  conector (instalar, actualizar, decidir qué tablas/campos expone), con permiso del usuario. Una
+  tabla nueva primero se agrega a `config.json` del conector con los campos mínimos; después se
+  consulta por la API.
+
 - En el conector: solo `GET`, token (se guarda solo el SHA-256), IPs permitidas en el conector y en
   el firewall de Windows, tablas/campos permitidos y denegados (sueldos, claves), sin rutas ni SQL
   libres, límites de peticiones/concurrencia/página/tiempo, log sin tokens ni valores buscados.
@@ -114,6 +120,12 @@ el sistema no cambia. Ver decisión #2 en `DECISIONES.md`.
   del conector por código de proveedor; sin datos personales en Git). En dev: 9 proveedores + 2 que ya
   eran de nómina (Torres Palacios Nataly, Rodríguez Nava Christian). Códigos usados:
   `137+031 142+033 809 234 040 794 817 565 540 405 676` (`--position=MEDICO`).
+- **Médico nuevo** (desde 2026-10-29): **Organización → Empleados → "Agregar desde proveedores"**
+  (admin/superadmin): buscar por nombre, apellido o cédula en la fuente "Proveedores"
+  (Configuración → Conexiones externas, en dev: `clientes/PROVEDOR`), elegir, confirmar apellidos,
+  nombres y cargo (por defecto MEDICO) y guardar como empleado (`origin=provider`). Marca "Ya es
+  empleado" a los existentes. Luego, si entra al sistema: Nuevo usuario → Desde nómina, y Personal de
+  la Agenda. Los 11 médicos ya cargados se mantienen. El script queda para cargas masivas.
 - **Protección**: un empleado con usuario en el sistema (p. ej. médico) **no se actualiza ni se
   inactiva** al "Actualizar empleados"; los de origen proveedor tampoco los toca la nómina.
 - **Agenda**: en modo importar se busca entre los importados (también por nombre de origen); en modo