v2.1.4 — Permisos de CI, limpieza de commits automáticos y optimizaciones en el ETL

🐛 Corregido

• update_prices.yml seguía agregando data/pami.xlsx y data/droga_fixes.json
  al commit en cada corrida pese a que un release anterior ya lo daba por
  resuelto — el cambio no había quedado aplicado en el YAML. Ahora ninguno
  de los dos se toca en el paso de commit.

🔒 Seguridad

• Bloque permissions: contents: write explícito en update_prices.yml
  (hallazgo de CodeQL: el workflow no limitaba los permisos del GITHUB_TOKEN).

⚡ Mejorado

• _build_re_lab_pegado() ya no se reconstruye dos veces sobre el dataset
  completo en pdf_to_json.py — se cachea una sola vez y se reutiliza entre
  extraer_presentacion_de_marca() y limpiar_dosis_residual_en_marca().
• Reemplazado iterrows() por to_dict('records')/itertuples() en los
  dos loops del crosswalk PAMI (_build_pami_index() y el fallback de
  dosis desde nombre de marca).

📝 Documentado retroactivamente

• data/pami.xlsx no se versiona en git desde algún punto entre 2.1.0 y
  2.1.2 (fecha exacta no registrada en el changelog): se descarga fresco
  en cada corrida del ETL desde el portal de datos abiertos de PAMI (CKAN),
  con retry y backoff, y está en .gitignore. Corresponde al ítem de
  roadmap de la auditoría técnica sobre migrar pami.xlsx fuera de git,
  que en los hechos ya estaba resuelto pero nunca había quedado asentado.