[docs] SECURITY.md: reporte de vulnerabilidades y manejo de datos personales

**Dificultad:** media — más criterio que código. El README ya advierte que hay datos (contactos, canales) que deben reverificarse antes de mostrarse, y `planoidea.md` §9 documenta estafas activas durante la emergencia. Pero no hay un `SECURITY.md` que diga qué hacer si alguien encuentra un hueco. Esto importa más de lo normal aquí: el backend maneja reportes ciudadanos y registro de voluntarios, o sea datos personales de gente en situación de vulnerabilidad. Un fallo de autorización no es solo un bug. Qué hacer: - Canal de reporte privado (no un issue público) y tiempo estimado de respuesta. - Alcance: qué se considera vulnerabilidad reportable en este proyecto. - Sección explícita sobre datos personales: qué se almacena, qué nunca debe aparecer en un issue, un log o una captura de pantalla en un PR. - Recordatorio de que el proyecto no maneja pagos, por diseño — cualquier PR que introduzca un flujo de dinero se rechaza. El último punto también sirve como defensa: si alguien intenta colar un canal de donación falso vía PR, la política ya está escrita.