Root a demanda, lanzador de escritorio, captura nueva y ajustes

- Root: no se pide la contraseña al arrancar (echaba para atras). Se pide
  solo la primera vez que una accion necesita sudo, y se cachea. --candado
  para el modo seguro. Aviso de root prominente en el README.
- install.sh crea un lanzador de escritorio (jarvis.desktop) con el icono
  naranja: aparece en el menu de aplicaciones para arrancar con un clic.
- Captura del panel reemplazada por una mas limpia (solo la ventana).
- Quitado "Probado en ..." del README (informacion del equipo).
- ventanas.sh: aviso claro segun el compositor en Wayland.

README.md

@@ -59,11 +59,6 @@ Solo si vas MUY justo de VRAM y el cerebro y whisper se pelean por ella: fijar
 comentarios del propio `Modelfile`. En una torre con una tarjeta normal **no
 hace falta tocar nada**.
 
-### Probado en
-
-NVIDIA T1200 (4 GB), 62 GB RAM, Debian 12 con GNOME/X11. Es el equipo del autor,
-el caso más ajustado; en una torre con más VRAM sobra sitio.
-
 ## Instalación
 
 Necesita, en la máquina: [Ollama](https://ollama.com), whisper.cpp (compilado
@@ -109,21 +104,26 @@ preguntas de pentesting, la recuperación sube de **hit@1 48 % → 82 %** y
 **hit@5 77 % → 95 %**. El método, el pipeline y esos números están en
 [docs/rag.md](docs/rag.md).
 
-## Órdenes con root
+## Órdenes con root — importante
 
-Algunas acciones necesitan `sudo`. El manejo es explícito y con límites, no un
-"root para siempre":
+Algunas órdenes que gestionan el sistema (instalar un paquete, reiniciar un
+servicio, montar un disco) necesitan `sudo`. Conviene saber cómo se maneja,
+porque es donde un asistente de voz puede hacer daño:
 
-- La contraseña **nunca se escribe en disco**. Vive en memoria del proceso solo
-  si activas el permiso de sesión, y se pasa a `sudo -S` por la entrada estándar.
-- El permiso de sesión **caduca a los 15 minutos** de la última orden, y también
-  al cerrar el panel.
-- **Cada** orden con root muestra su comando exacto en un diálogo antes de
-  ejecutarlo. El permiso de sesión solo ahorra re-teclear la contraseña; nunca
-  salta el ver y aprobar. **La voz no puede autoaprobar root.**
+- **No pide la contraseña al arrancar.** Molestar de entrada echa para atrás, y
+  la mayoría de lo que se le pide no necesita root. Arranca y funciona sin nada.
+- **Se pide solo cuando hace falta, y una vez.** La primera vez que una orden
+  necesita `sudo`, aparece un diálogo pidiendo tu contraseña. La tecleas, la
+  repites, y a partir de ahí el permiso queda abierto para la sesión.
+- **Caduca a los 15 minutos** de inactividad, y al cerrar el panel. No es un
+  "root para siempre".
+- La contraseña **nunca se escribe en disco**: vive solo en la memoria del
+  proceso mientras dura la sesión, y se pasa a `sudo -S` por la entrada estándar.
+- **La voz no puede autoaprobar root.** El permiso de sesión ahorra re-teclear
+  la contraseña, nunca salta el pedirla la primera vez.
 
-Con el candado echado, el asistente no obedece órdenes que toquen el sistema:
-las pide desbloquear primero.
+Si prefieres el modo seguro (bloquear el panel y pedir la contraseña al abrir,
+para que nadie que pase por delante dé órdenes), arranca con `--candado`.
 
 ## Privacidad