diff --git a/docs/CONTEXT_LAST_SESSION.md b/docs/CONTEXT_LAST_SESSION.md
index 6642376..d8bb8d4 100644
--- a/docs/CONTEXT_LAST_SESSION.md
+++ b/docs/CONTEXT_LAST_SESSION.md
@@ -2,6 +2,24 @@
 
 > Il 2026-05-29 ci sono state DUE sessioni: **pomeriggio** e **mattina** (TRPG). Il 2026-05-30 sessione lunga: gap competitivi P1/P2/P3 + connettori + review multi-agente + fix.
 
+## 2026-05-31 (sera) — Fasi 2-4 questionari fornitori + corpus ACN (prod v1.12.0, ahead 0)
+
+Modulo questionari fornitori al **100%**. Tutto committato e pushato.
+
+**Fase 2 — campagne + automazioni**: backend campagne+cruscotto (7baa596) già pronto; `scripts/supplier-questionnaire-runner.php` + `.sh` (261fc4c) — 3 fasi idempotenti (REMINDER su `reminder_offsets`, OVERDUE `due_at<NOW`→expired, RICORRENZA clona con token `sq_`), dry-run host OK. **AZIONE UTENTE: registrare crontab `0 6 * * *` via agile-services.**
+
+**Fase 3 — portale OTP/magic-link**: `SupplierPortalController.php` (de09af6) auth SEPARATA (`SUPPLIER_JWT_SECRET`, aud=supplier-portal, supplier_sessions revocabili; OTP 8 cifre lockout persistente; sendViaTemplate fuori da email_log; request-otp opaco; no-IDOR). `public/supplier-portal.html` (78dcb41) — **E2E verificato in prod** (verify-otp→token→/me→getQuestionnaire 26 domande→PATCH autosave), poi cleanup. Config: SUPPLIER_JWT_SECRET + PATCH in CORS. Migrazioni 034+035 applicate.
+
+**Fase 4**: tutti i tipi domanda nel portale + scoring per-vulnerabilità (Art.21.3) in submitQuestionnaire.
+
+**Corpus AI**: `scripts/ingest-acn-requirements.php` (6365d5d) — **203 requisiti ACN** in Qdrant nis2_kb (entity_type=requisito_acn), verificato count=203.
+
+**Gate** (2dced3f): guida cap-9 + help.js + version 1.12.0.
+
+Residue (non bloccanti dev): crontab; go-live (chiave mktg, APP_ENV).
+
+---
+
 ## 2026-05-31 — Modulo Questionari Fornitori (Fase 0+1) + doppia review 22 agenti (HEAD `43a7180`, ahead 0, prod v1.11.0)
 
 > **Ambiente: SVILUPPO.** Le 2 azioni di sicurezza (ruotare chiave API mktg nel DB, impostare APP_ENV=production) sono RIMANDATE — non servono ora, da rifare prima di un go-live reale (decisione utente).