fix(docker): imagem final sem privilégios (nginx-unprivileged, porta 8080)

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

README.md

@@ -59,14 +59,14 @@ docker compose up --build
 ```
 
 O `Dockerfile` compila o Vite dentro da própria imagem (Node 22) e entrega os
-arquivos estáticos pelo nginx. Não há artefato pré-construído no repositório.
+arquivos estáticos por um nginx sem privilégios (usuário `nginx`, porta 8080). Não há artefato pré-construído no repositório.
 
 ### Imagem publicada
 
 Cada versão é publicada no registro de contêineres do Gitea (linux/arm64):
 
 ```bash
-docker run -p 8080:80 git.lucasrguerra.dev.br/lucasrguerra/pss:latest
+docker run -p 8080:8080 git.lucasrguerra.dev.br/lucasrguerra/pss:latest
 ```
 
 Tags: `latest`, `X.Y.Z`, `X.Y` e `sha-<commit>`. A instância pública roda em