diff --git a/ovh-cloud/grafana/README.md b/ovh-cloud/grafana/README.md
new file mode 100644
index 0000000..8add11d
--- /dev/null
+++ b/ovh-cloud/grafana/README.md
@@ -0,0 +1,37 @@
+# Grafana en OVH
+
+## Papel
+
+Grafana en OVH representa el dashboard público del cliente.
+
+No es el backend del stack, sino la cara visible del tenant.
+
+## Qué sí pertenece aquí
+
+- tenant de cliente
+- dashboard del cliente
+- publicación por subdominio
+- embedding de `/control/ui`
+- configuración ligada al frontal y al acceso del cliente
+
+## Qué no pertenece aquí como motor de control
+
+Grafana no debe enviar downlinks directamente a ChirpStack.
+
+La lógica de control pertenece a `drain-control` en `platform-40`.
+
+## Caso drenaje
+
+Quedó fijado que:
+
+- el dashboard del cliente vive en OVH
+- la UI se embebe por iframe apuntando a `/control/ui`
+- se activó `GF_SECURITY_ALLOW_EMBEDDING=true`
+- se activó `GF_PANELS_DISABLE_SANITIZE_HTML=true`
+- el router del tenant debe excluir `/outpost.goauthentik.io/`, `/logout` y `/control` para no interferir
+
+## Regla práctica
+
+- dashboard reusable base -> vertical
+- dashboard provisionado de cliente -> OVH
+- overrides singulares de cliente -> cliente
\ No newline at end of file