diff --git a/docs/DECISIONS.md b/docs/DECISIONS.md
index 2310cbe..eb3528b 100644
--- a/docs/DECISIONS.md
+++ b/docs/DECISIONS.md
@@ -17,3 +17,11 @@ excepciones (check-clean-trees en verde).
 Todo push queda identificado por autor; el reporte diario lista los pushes
 del día por autor, y todo merge a main que toque archivos de CODEOWNERS
 dispara DM urgente si no lo mergeó pattern.
+
+## D4 (r32, regla dura R7): Nada de builds ni pruebas en /srv/*
+NINGUN agente compila, instala dependencias ni prueba codigo dentro de
+los directorios de produccion (/srv/*). Todo build, npm ci, prueba o
+servidor de testeo va en una copia bajo /tmp o en el workspace del
+runner (/var/lib/gitea-act/work). Antecedente: r31 — un build de prueba
+sobrescribio el .next de produccion de bitcoinhotels por ~7 minutos.
+Los checkouts de /srv solo los toca el autodeploy (con su lock).