feat: configuración de destinatarios de notificaciones desde la app

Gestiona grupos de email y asignación por escenario en BD
(natur_reservas.notification_groups / notification_scenario_recipients)
en lugar de variables de entorno hardcodeadas. Incluye pantalla de ajustes,
endpoint admin protegido, envío de prueba y niveles reducida/completa.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

apps/api/src/routes/users.ts

@@ -1,50 +1,12 @@
-import { Router, type Request, type Response, type NextFunction, type Router as ExpressRouter } from 'express';
+import { Router, type Router as ExpressRouter } from 'express';
 import { supabaseAdmin } from '../lib/supabase.js';
+import { requireAdmin } from '../middleware/requireAdmin.js';
 import type { UserRole } from '@naturcalabacera/shared';
 
 const router: ExpressRouter = Router();
 
 const VALID_ROLES: UserRole[] = ['admin', 'internal_staff', 'external_availability_viewer'];
 
-/**
- * Middleware: extrae el JWT del header Authorization, valida la sesión con
- * Supabase y comprueba que el usuario es admin. Si pasa, deja el id del
- * caller en res.locals.callerId.
- */
-async function requireAdmin(req: Request, res: Response, next: NextFunction): Promise<void> {
-  const auth = req.headers.authorization;
-  if (!auth || !auth.startsWith('Bearer ')) {
-    res.status(401).json({ error: 'Falta token de autenticación' });
-    return;
-  }
-  const token = auth.slice('Bearer '.length);
-
-  const { data: userData, error: userError } = await supabaseAdmin.auth.getUser(token);
-  if (userError || !userData.user) {
-    res.status(401).json({ error: 'Token inválido' });
-    return;
-  }
-
-  const { data: profile, error: profileError } = await supabaseAdmin
-    .from('user_profiles')
-    .select('role')
-    .eq('id', userData.user.id)
-    .single();
-
-  if (profileError || !profile) {
-    res.status(403).json({ error: 'Perfil no encontrado' });
-    return;
-  }
-
-  if (profile.role !== 'admin') {
-    res.status(403).json({ error: 'Solo admins pueden gestionar usuarios' });
-    return;
-  }
-
-  res.locals.callerId = userData.user.id;
-  next();
-}
-
 // GET /api/users — listar todos los perfiles
 router.get('/', requireAdmin, async (_req, res) => {
   const { data, error } = await supabaseAdmin