docs: consolidate product roadmap and source docs

docs/module-decomposition.md

@@ -159,3 +159,41 @@
 Антипаттерн:
 
 не превращать `mcp-server` во второй `admin-api`.
+
+## 5. Разделение open-source и commercial модулей
+
+### 5.1. Что остается в public repository
+
+В этом репозитории должны жить:
+
+- Community domain model;
+- Community runtime;
+- Community UI;
+- extension seams для коммерческих возможностей;
+- capability model по редакциям.
+
+### 5.2. Что должно выноситься в private delivery
+
+За пределами public repo должны жить:
+
+- short-lived и one-time token issuers;
+- enterprise access services;
+- `SSO`, `2FA`, `RBAC`, `audit log`;
+- metering и billing;
+- cloud control plane;
+- premium protocol families, если они не входят в Community edition.
+
+### 5.3. Техническое правило
+
+Public code не должен содержать скрытую private business logic.
+
+Допустимо:
+
+- trait boundaries;
+- capability flags;
+- edition-aware service contracts.
+
+Недопустимо:
+
+- полноценная коммерческая реализация в open-source исходниках;
+- UI, который реально включает premium flow без server-side gating.