《BushSEC Analysis 服务协议》

版本：1.0
发布日期：2026-07-15
更新日期：2026-07-15
生效日期：2026-07-15
适用服务：analysis.bushsec.dev、BushSEC Analysis，以及产品界面标明启用后的 BushSEC Analysis Tracks

请特别阅读：样本合法来源及授权（第七章）、BushSEC Analysis Tracks（第八章）、AI 与安全输出限制（第十一章）、免责声明和责任限制（第十三章）可能对您的权益产生重大影响。

一、协议主体与联系方式

本协议由使用 BushSEC Analysis 的用户（“您”或“用户”）与服务运营者（“BushSEC”或“我们”）订立：

运营者标识：BushSEC
运营形态：中国大陆个人开发者
实体联系地址：不公开；涉及服务、争议、个人信息权利或其他正式事项，请通过下述邮箱联系
服务邮箱：admin@bushsec.dev
隐私邮箱：admin@bushsec.dev

电子邮件是 BushSEC 处理服务请求、账号申诉、隐私请求和争议协商的主要联系渠道。请勿通过公开评论、论坛或其他不受控渠道发送身份证明、账号凭据、恶意样本或其他敏感信息。

服务由个人开发者运营并不改变适用法律赋予用户的强制性权利。如适用法律要求向特定用户、监管机构或司法机关提供实名身份或有效送达信息，BushSEC 将依法处理。

二、协议成立、适用范围与隐私政策

在首次登录或首次上传前，您应完整阅读本协议和隐私政策，并主动勾选未预选的同意框、点击确认。完成确认后，本协议在您与 BushSEC 之间成立。仅浏览不要求登录的公开页面，不视为您已经接受本协议，也不视为您同意处理非必要个人信息。

不同意本协议的，请不要登录、上传或使用 Analysis。协议发生对用户权益有重大影响的变更时，BushSEC 将显著提示，并在适用法律要求时重新取得确认或同意，不仅以“继续使用”推定您接受需要重新同意的重大变更。

本协议适用于：

通过 GitHub OAuth 登录、账户审核、激活、邀请和权限管理；
PE 文件上传、校验、静态分析、反汇编、反编译、AI 辅助分析和报告；
任务、用量、审计、管理和安全功能；
BushSEC Analysis Tracks 启用后的候选采集、治理、存储、训练和评测。

个人信息和网络数据的处理另受仓库路径 docs/legal/privacy-policy.zh-CN.md 所载《BushSEC Analysis 与 Tracks 隐私政策》约束。隐私政策与本协议对同一数据处理事项不一致时，以符合适用法律且对用户个人信息权益保护更充分的解释为准；服务使用、样本授权和责任规则以本协议为准，但不得减损用户依法享有的个人信息权益。

三、使用资格与未成年人

BushSEC 不主动向不满 14 周岁的用户提供服务。您注册、登录、上传或使用服务，即表示您确认自己已满 14 周岁，并已达到所在国家或地区订立、履行本协议及使用相关服务所需的最低年龄。

服务使用有效 GitHub 账户进行身份验证。GitHub 对账户年龄另有规定；如 GitHub 规则或用户所在地法律规定更高的最低年龄，应同时满足较高要求。

14 周岁以上但未满 18 周岁的用户，应在父母或其他监护人的指导下阅读并接受本协议；其民事行为能力或适用法律要求监护人授权的，应在上传样本或使用相关功能前取得相应授权。

如 BushSEC 发现用户不满 14 周岁，或收到可信通知表明相关账户属于不满 14 周岁的用户，BushSEC 可立即停止账户访问，并在核实后删除或依法隔离相关账户、样本、Analysis 和 Tracks 数据。父母、监护人或其他有权主体可通过 admin@bushsec.dev 提交核实和删除请求。

四、账户与访问安全

您应使用本人有权控制且信息准确的 GitHub 账户，不得冒用他人身份、买卖账户、共享登录凭据或协助未经授权者访问服务。
服务可对同一账户实行单一有效会话；新的登录可能使旧会话失效。账户可能经过审核、激活，并受用户组、配额和有效期限制。审核不代表 BushSEC 对用户身份、样本或行为作任何背书。
您应妥善保护 GitHub 账户、设备和会话安全，并对合理归属于您账户的活动负责，但因 BushSEC 过错或适用法律另有规定的除外。
如发现凭据泄露、账户被盗、异常任务或其他安全事件，应立即通过服务邮箱报告，并根据需要撤销相关 GitHub 授权。BushSEC 可采取会话撤销、账户冻结、权限收回或再次验证等合理保护措施。
账户激活、有效期、权限、用户组或配额不构成永久承诺，也不得转让、出租或转售。

五、服务内容、费用与变更

BushSEC Analysis 是辅助性的二进制安全分析工具，可提供文件校验、静态分析、反汇编、反编译、结构化证据、AI 辅助判断和报告。报告可能因样本结构、加壳或混淆、资源限制、任务排队、模型能力、第三方服务状态或系统故障而延迟、不完整或失败。文件大小、并发、令牌、分析时长、模型和功能配额可根据用户组、系统容量、安全风险及合理运营需要调整。

当前服务免费提供。除非 BushSEC 后续明确推出付费方案，并在购买前展示价格、计费周期、退款规则及补充条款，您的使用不会自动产生服务费，付费方案也不得追溯收费。

BushSEC 可为改进功能、保障安全、符合法律或适配第三方服务而修改、暂停或停止部分功能，并尽可能对重大不利变化提前给予合理通知。维护、漏洞处置、资源耗尽、上游提供商故障、网络中断、政府行为或不可抗力可能导致临时中断。BushSEC 不承诺所有功能、模型、配额或测试功能永久可用。

六、允许用途与禁止行为

您只能上传自己有权持有和分析的样本，并仅将服务用于合法、获授权的防御性安全研究、事件响应、恶意软件分析、安全教育、合规审计和授权测试。

您不得直接或间接利用服务：

未经授权访问、扫描、控制、干扰或破坏他人系统、账户、网络或数据；
开发、部署、传播或改进以造成损害为目的的恶意软件、勒索软件、凭据窃取工具、攻击载荷，或用于实际隐匿恶意行为、绕过合法安全控制的能力；
实施非法监控、追踪、欺诈、骚扰、破坏、数据窃取或其他违法活动；
上传来源违法、未经授权，或侵犯知识产权、隐私权、商业秘密、国家秘密、工作秘密或其他合法权益的内容；
泄露密钥、口令、令牌、个人信息、内部代码或其他无权披露的受限制信息；
攻击、压测或滥用 BushSEC 基础设施，绕过速率、配额、身份、审核、会话或安全限制；
反向工程、规避或破坏 BushSEC 自身的访问控制、服务保护和防滥用机制，但适用法律明确允许且不得通过协议排除的除外；
自动化批量注册、抓取非公开信息、转售账户或服务能力，或冒充 BushSEC、用户或第三方；
发布或处理法律禁止的内容，或协助他人实施上述行为。

对用户依法提交的 PE 样本进行约定范围内的反汇编、反编译和恶意软件分析，不因本条对 BushSEC 自身服务保护的限制而被禁止。

七、样本合法来源、用户保证与服务授权

您确认每个上传样本均有合法来源，且您有权持有、上传并授权 BushSEC 按本协议处理该样本。样本可能包含第三方代码、个人信息、商业秘密、凭据、路径或内部环境信息；您应在上传前确认已取得必要的知识产权许可、个人信息处理依据、保密授权和其他同意。

您保留对上传内容依法享有的权利。为提供和保护服务，您向 BushSEC 授予一项非独占、全球范围、免许可费的许可；该许可仅可向完成服务所必需且受数据保护义务约束的处理者再许可，用于托管、复制、校验、分析、转换、反汇编、反编译、生成报告、保障安全、去重、去标识化及履行您请求的服务。该授权不转移所有权，也不允许 BushSEC 超出本协议和隐私政策所述目的出售您的样本。

原始 PE 自上传之日起最多保留 7 天，并可因任务删除、账户注销、安全处置或用户请求而提前删除。 该期限仅适用于原始样本文件，不表示原始文件名、哈希、静态分析结果、反编译数据、AI 输入输出、报告、日志或去标识化 Tracks 数据会在同一时间删除；相关派生数据分别适用隐私政策规定的保存和删除规则。

普通 Analysis 数据的上述许可在适用的删除、保存或法定义务完成后终止；为处理争议、安全事件或法定义务而必须保留的部分，仅在必要范围继续有效。进入 Tracks 的数据不沿用普通 Analysis 许可的终止规则，而适用下一章的 Tracks 专项许可以及隐私政策规定的独立保存和删除流程。

您不得因使用服务主张对 BushSEC 平台、工具或第三方样本的权利，也不得上传会使 BushSEC 在未经明确接受的情况下承担开源传播、披露源代码或其他额外义务的内容。

八、醒目条款：BushSEC Analysis Tracks

Tracks 是否开放以产品界面和账户权限为准。功能未启用时，BushSEC 不进行本章所述的 Tracks 候选采集；功能启用后，相关处理适用本章。

8.1 专项许可、默认参与与法定例外

针对符合条件的 Analysis 结果，用户授予 BushSEC 的 Tracks 专项许可仅在 Tracks 实际启用、完成显著告知并取得适用法律要求的必要同意后生效。该许可为非独占、全球范围、免许可费的内容许可，只可向必要且受约束的处理者再许可，并且不转移所有权。

Tracks 专项许可的用途限于：

筛选、整理、审核和去标识化 Analysis 结果；
构建和治理受控的内部二进制安全数据集；
训练、微调和评测二进制安全模型；
改进样本理解、证据质量、风险判断和报告生成；
生成受控的数据集版本和内部评测包。

BushSEC 不得超出上述约定目的处理内容，也不得依据本许可公开或出售 Tracks 数据。

Tracks 专项许可从属于用户依法享有的撤回同意、删除和停止处理权。撤回成立或法定停止处理后，该许可对仍可关联 Track 的未来用途终止；BushSEC 应按本章及隐私政策删除可定位源数据并停止未来使用。对已经达到法律意义上无法识别且不可复原的 Track，真正匿名化不自动终止相关内容许可，但不会扩大许可目的，也不授予 BushSEC恢复识别个人、账户或来源的权利。

Tracks 启用后，符合条件的已完成 Analysis 结果将默认进入候选管线。一般用户使用 Analysis 即接受该统一处理条件，通常不提供逐样本退出；不同意时，用户可能无法继续上传或使用 Analysis。上述默认参与、无逐样本退出和拒绝后果仅在适用法律允许的范围内成立。

如 Tracks 对核心 Analysis 并非必要，且适用于特定用户的强制性法律禁止将 Tracks 与基本服务绑定，BushSEC 将依法向相关用户提供不含 Tracks 的基本 Analysis，或另行取得单独、自愿的有效同意。该例外不构成一般用户的逐样本退出权。

8.2 纳入范围、访问与禁止公开

Tracks 可纳入经筛选和去标识化的函数级证据、归一化伪代码、结构化结果、调查事件和报告训练记录。Tracks 不纳入或导出：

原始 PE 文件；
明文用户 ID、GitHub 登录名、邮箱和用户组；
原始文件名、任务 URL、服务器路径和上传时间；
原始 SHA-256、MD5 或 SHA-1；
API Key、令牌、凭据和完整生产提示词；
完整聊天记录或模型隐藏思维链。

Tracks 不公开、不出售，也不向普通、Pro、Max 用户或一般管理员披露。仅履行职责所必需的受控人员、Worker 和必要处理者可在授权范围内访问。

8.3 删除与既有模型限制

普通任务或账号删除不会自动删除已经生成的 Tracks 数据。 用户可按隐私政策通过 admin@bushsec.dev 申请关联删除，BushSEC 将利用隔离的来源关联定位相关数据。

如果同意是 Tracks 的处理依据，用户撤回同意，或者关联删除请求成立后，BushSEC 将删除仍可关联的 Track、源对象、索引和链接，按备份周期清除副本，停止未来纳入，并停止未来训练、微调、评测和新数据集导出。撤回发生在账号或统一条件层级，不构成逐样本选择性退出；仅在适用法律允许绑定的情况下，BushSEC 可在撤回后停止未来上传。

若法律要求保留，或技术上暂不能删除某一仍可关联 Track，BushSEC 仅在必要范围存储并采取安全保护，不得继续将其用于训练、微调、评测、导出或其他用途，并在保留原因消失或技术条件具备后完成删除。

如果相关 Track 已用于训练既有模型，现有技术可能无法从模型参数中精确分离或移除单一样本的影响。删除请求不因此失效：BushSEC 仍将删除可定位源数据，并不再将已删除源数据用于后续训练、评测或新导出；适用法律要求采取更多措施的，从其规定。

九、知识产权、报告与反馈

BushSEC 及其许可方保留平台代码、分析工具、工作流、提示词、模板、数据结构、模式、界面、商标、品牌和相关改进的权利。本协议未明确授予的权利均予保留。

在不违反法律、本协议和第三方权利的前提下，您可将有权访问的报告用于内部安全、研究、教育、事件响应或其他获授权用途。报告访问权不授予您对第三方二进制文件、情报、符号、模型、数据库或其他外部材料的权利；其中的第三方内容仍受其自身条款约束。

您自愿提供建议或反馈时，BushSEC 可在移除个人信息和保密信息后，无偿用于改进产品和服务。BushSEC 不会仅因采纳反馈而向您支付报酬或转移平台权利，但双方另有书面约定的除外。

十、第三方服务与部署

服务可能依赖以下第三方或基础设施：

GitHub OAuth，用于账户登录与身份验证；
Kimi（月之暗面）官方 API 和 DeepSeek 官方 API，用于生成分析、推理和报告；
Microsoft 或 Mozilla 符号服务，用于请求公开调试符号；
邮件投递基础设施，用于账户激活、邀请和服务通知；
Cloudflare R2，用于 Tracks 私有对象存储和必要备份；
德国境内服务器及网络基础设施，用于网站、API、任务和数据托管；
页面实际加载的字体或其他网络资源服务。

BushSEC 的主要服务器部署于德国。Cloudflare R2 使用西欧位置提示（WEUR）；该位置提示用于优化对象的主要存储位置，并不构成数据必然或始终驻留于西欧的保证。需要法定地域保证时，应以 Cloudflare 提供的 jurisdiction restriction 等实际配置为准。

AI 提供商会接收完成请求所需的筛选后派生证据、分析上下文和模型输出；Agentic 深度分析还可能根据工具请求发送局部原始字节及相关十六进制、ASCII 或反汇编结果。具体处理方式、保存期限及训练规则以第三方官方条款、隐私政策、账户配置及 BushSEC 的配套隐私政策为准。

十一、AI 输出、安全判断与样本处置

静态分析、反汇编、反编译、外部情报和 AI 输出均可能出现误报、漏报、错误归因、内容不完整、过时或无法复现。报告是辅助信息，不是对样本安全性、恶意性、来源、完整性或合规性的保证或认证，也不替代人工复核、动态分析、专业安全判断或法律意见。

报告和 AI 输出不得作为唯一事实依据，用于封禁账户、公开归因、纪律处分、诉讼、刑事指控或其他对个人或组织产生重大影响的决定。 您应结合原始证据、可复现测试和合格专业人员判断，并遵守证据保全及适用程序。

PE 样本可能是活跃恶意软件。您应在隔离、最小权限且具备适当防护的环境中存储、下载、验证或执行样本，不应在生产设备中直接运行。BushSEC 提供报告、哈希或静态证据不表示样本可以安全执行。

十二、暂停、终止与停止服务

出现下列情形时，BushSEC 可在合理必要范围限制、暂停或终止账户、任务或服务：

违反本协议、隐私政策或适用法律；
滥用、攻击服务或规避身份、配额与安全限制；
样本、账户或活动造成现实或重大安全风险；
收到有权机关依法提出的要求；
账户未通过审核、已到期或失去有效 GitHub 账户；
上游提供商中断，或继续运营在技术、法律或经济上不可行；
服务整体停止或发生不可抗力。

紧急安全事件、明显违法行为或必须立即执行的法律要求可导致立即处置；其他情形下，BushSEC 将在可行时给予合理通知和纠正机会。暂停或终止不会追溯剥夺已经依法产生的用户权利。

终止前如技术上可行，且不损害他人权益、系统安全或调查，用户可在通知期内导出现有报告；BushSEC 不保证在账户终止后继续提供在线导出。账户、任务、样本和日志按隐私政策的保存期限处理。普通任务或账号删除不会自动删除已生成 Track；Track 应通过隐私政策规定的关联删除流程处理。

协议终止后，按性质应继续有效的样本来源保证、知识产权、既有保密义务、责任限制、争议解决，以及完成删除、审计和法定义务所必要的条款继续有效。

十三、免责声明与责任限制

在适用法律允许的最大范围内，服务按“现状”和“可用”基础提供。BushSEC 不承诺服务能够持续运行、没有错误或没有漏洞，不保证所有样本均可分析，也不保证报告完整、准确、及时或适合特定目的。

在适用法律允许的范围内，BushSEC 不对利润、收入、业务、机会、商誉、数据或预期节省的间接、附带、特殊、惩罚性或后果性损失承担责任，也不对用户不安全执行样本、忽视复核义务或未经授权使用服务造成的损失负责。

责任限制：对于因本服务或本协议引起的普通合同或侵权责任，BushSEC 的累计责任以引发责任事件前 12 个月内您就本服务实际支付的费用总额为上限；服务免费时，上限为人民币 100 元。该上限不适用于法律禁止限制或免除的责任。

任何免责或限责均不排除或限制因故意、重大过失、人身伤害依法应承担的责任，也不减损消费者、未成年人、个人信息和隐私保护等强制性法定权利。适用法律对某项保证、损失或责任不允许排除、限制或预先约定的，相关条款仅在法律允许的最大范围适用，其余条款不受影响。

十四、用户对第三方请求的责任

因您上传无权持有或分析的样本、侵犯第三方权利、泄露受限制信息或违法使用服务而引起第三方索赔、调查、处罚或合理支出，您应对自己违反本协议或违法行为直接造成的损失承担责任，并在适用法律允许的范围内向 BushSEC 提供合理赔偿和必要协助。

该责任不涵盖由 BushSEC 自身过错、擅自扩大处理目的或违反适用法律造成的损失，也不限制您依法享有的抗辩、消费者或个人信息权益。BushSEC 应采取合理措施减少损失，并及时向您告知相关请求，但告知受法律或调查限制的除外。

十五、通知、协议更新与一般条款

通知。 BushSEC 可通过登录页、站内提示、GitHub 账户关联邮箱或本协议所列渠道发送服务通知。您应保持 GitHub 联系信息有效。用户发送至服务邮箱的通知以实际到达为准。
更新。 因功能、法律、费用或第三方变化需要修改本协议时，BushSEC 将更新日期并以合理方式通知。对用户权益有重大影响的变更将在生效前显著提示，并在法律要求时重新取得同意；不会仅通过网页文字追溯扩大 Tracks 授权或免除既有责任。不同意重大更新的，您可在生效前停止使用并申请删除账户或相关数据。
可分割性。 条款无效或不可执行时，在法律允许范围内按最接近原意且保护用户法定权利的方式调整，其余条款继续有效。
不放弃权利。 任何一方未立即行使权利不构成放弃；放弃应以明确书面形式作出。
转让。 未经 BushSEC 书面同意，您不得转让本协议或账户。BushSEC 因合法重组或服务转移需要转让时，将依法通知，不得降低个人信息保护水平；法律要求同意的，另行取得同意。
不可抗力。 对不能合理预见、避免或克服的事件造成的迟延或不能履行，受影响方在法律允许范围内免责，但应及时通知并采取合理减损措施；不可抗力不免除已经产生的数据保护、安全补救或其他依法不得免除的义务。
完整协议。 本协议、隐私政策、购买时明确接受的付费补充条款及特定功能规则共同构成双方就服务的完整约定。补充条款与本协议冲突时，仅在其明确适用范围内优先。
继续有效。 按其目的和性质应在终止后继续有效的条款，包括授权收尾、知识产权、责任限制、第三方请求、争议解决和数据删除义务，继续有效。

十六、适用法律与争议解决

本协议的订立、效力、履行、解释及争议解决适用中华人民共和国法律，但不包括其法律冲突规则。其他国家或地区的强制性法律依法适用于特定用户并提供不可放弃的更高保护时，不因本条被排除。

争议发生后，双方应先通过 admin@bushsec.dev 进行善意协商。自一方发送书面协商请求后 30 日内未解决的，任一方可依法向有管辖权的人民法院提起诉讼。本协议不强制指定与争议无实际联系或依法无效的排他管辖地，也不妨碍任何一方依法申请临时措施、向监管机构投诉或行使不可放弃的法定救济。

十七、联系与生效

有关账户、服务、协议、隐私或争议的问题，请联系：

运营者标识：BushSEC
服务邮箱：admin@bushsec.dev
隐私事项：admin@bushsec.dev
实体联系地址：不公开；适用法律要求时依法提供
配套隐私政策：docs/legal/privacy-policy.zh-CN.md

本协议自 2026-07-15 起生效，并适用于生效后使用 BushSEC Analysis 及启用后的 BushSEC Analysis Tracks 的行为。

本协议不构成针对用户具体情况的法律意见。