Suas conversas treinam o modelo?

Três perguntas tratadas como uma

O texto vai para o treino? Uma afirmação sobre um uso específico. Não diz nada sobre alguém ler, nem sobre quanto tempo a conversa fica guardada.

Por quanto tempo fica guardado? Uma questão de retenção. Um serviço pode não treinar em nada e mesmo assim guardar suas mensagens por anos; outro pode treinar em tudo e apagar os registros brutos em um mês.

O que some quando você apaga a conta? A que as pessoas realmente querem responder, e a menos respondida. Apagar a conta e apagar os dados por trás dela são duas operações, e só alguns serviços dizem se a segunda decorre da primeira.

Separadas, as cinco respostas ficam comparáveis. Misturadas, todas soam iguais.

O que os cinco dizem, com as palavras deles

Cada linha vem do documento citado na primeira coluna, lido em 20 de setembro de 2026.

Essa tabela não é um ranking de privacidade. É um ranking de documentação: algumas dessas empresas escreveram uma política sobre o produto que têm, outras instalaram uma.

O que diz sem rodeios

O documento da Candy AI é o mais detalhado dos cinco, e é o caminho mais rápido para entender o que treino significa na prática.

Ele lista treino como finalidade própria, em vez de escondê-lo dentro de melhoria do serviço. Diz que a preparação dos conjuntos de dados pode incluir revisão humana. E nomeia a base legal: um interesse legítimo em prestar o melhor serviço possível e em melhorá-lo.

Esse último detalhe é o que mais pesa na prática. Consentimento e legítimo interesse não são a mesma coisa. O que se apoia em consentimento para quando o consentimento é revogado. O que se apoia em legítimo interesse segue até alguém se opor e a oposição prevalecer, o que é outro caminho com outro desfecho. Pela LGPD, o artigo 18, parágrafo 2º, permite opor-se a tratamento feito com base em hipótese de dispensa de consentimento quando há descumprimento da lei.

A mesma política é a única das cinco com um número para registros de log: 30 dias, para arquivos com interações, IDs de usuário e carimbos de tempo. É pouco para esta categoria, e é verificável, coisa que pelo tempo necessário nunca é.

Os que não dizem nada

Silêncio em uma política de privacidade não é negativa, e na SpicyChat os dois documentos apontam para lados diferentes.

A política de privacidade ainda traz a data de 4 de maio de 2023 e nunca menciona treino de IA. Os termos, alterados em 23 de julho de 2026, dão à empresa sobre o seu personagem e sobre os chats que saem dele uma permissão perpétua e irrevogável. Nenhum dos dois textos diz que essa permissão é usada para treino. Nenhum diz que não é. Uma permissão tão ampla dispensa cláusula específica para cobrir treino.

Na mesma política há um detalhe que diz muito sobre o cuidado com que foi montada: a empresa aparece definida como SpicyChat.AI, Corporate Address, com o espaço reservado do modelo ainda lá, e o país informado é o Canadá, sem nomear nenhuma pessoa jurídica.

A Infatuated AI cala de outro jeito, e isso começa antes. No endereço em que uma política de privacidade costuma ficar não há nada; o documento está em um caminho completamente diferente, e por isso até agora costumava ser registrado como inexistente. Ela existe, é de 13 de setembro de 2024, e não fala de treino.

Ela também continua descrevendo a empresa como certificada no EU-US Privacy Shield. O Tribunal de Justiça da União Europeia invalidou esse acordo em 16 de julho de 2020, no caso C-311/18. Um parágrafo adiante a própria política relativiza o ponto, ou seja, a contradição era conhecida e ficou.

O que a LGPD dá de fato aqui

Vale para quem está no Brasil independentemente de onde a empresa esteja: o artigo 3º, inciso II, da Lei 13.709/2018 aplica a LGPD a qualquer tratamento cuja atividade tenha por objetivo oferecer bens ou serviços a pessoas localizadas em território nacional.

O artigo 18 lista o que você pode exigir do controlador, a qualquer momento e por requerimento expresso:

• Confirmação e acesso. Saber se há tratamento e quais dados existem sobre você. É o pedido que transforma pelo tempo necessário em uma resposta concreta.
• Eliminação dos dados tratados com consentimento. É o inciso VI, e a redação importa: a eliminação garantida ali é a dos dados tratados com base no seu consentimento. Se a base for legítimo interesse, como na Candy AI, o caminho é outro.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei. É o inciso IV, e é o que sobra quando a base não é consentimento.
• Informação sobre com quem os dados foram compartilhados. O inciso VII, útil justamente porque nesta categoria a conversa passa por um segundo fornecedor.

O parágrafo 1º dá o direito de peticionar contra o controlador perante a autoridade nacional, a ANPD. O parágrafo 5º diz que o requerimento é atendido sem custos para o titular. Nada disso exige advogado.

Uma diferença prática permanece. A EverAI Limited, dona da Candy AI, está registrada em Malta sob o número C107181, com endereço postal e encarregado de dados nomeados na política. As outras quatro ficam nos Estados Unidos, no Canadá, ou não se identificam. A lei alcança todas; a facilidade de obter resposta, não.

Quanto tempo o texto fica

Quatro dos cinco respondem com uma variação da mesma frase: o tempo que for necessário. É juridicamente comum e praticamente inútil, porque não há como conferir de fora e não há data em que algo esteja garantidamente apagado.

A Candy AI é a exceção, com quatro prazos publicados. Se três anos de dados de conta é razoável ou não, é outra discussão; ao menos dá para tê-la com um número na frente.

A OurDream publica uma regra que os outros não têm, específica o bastante para se planejar: se um personagem público criado por você ficar popular o suficiente, a empresa se reserva o direito de preservar as características desse personagem e mantê-lo ativo no serviço, mesmo que você apague seus dados e sua conta. O conselho dela própria é não colocar nada identificável no formulário de criação. A cláusula não toca nas suas conversas, mas é o único caso do conjunto em que algo que você fez sobrevive à conta que o fez.

O que apagar a conta realmente apaga

Dois dos cinco deixam fazer isso pelas configurações. Um exige e-mail. Os cinco se reservam o direito de guardar certos registros mesmo assim, o que é normal e tem a ver sobretudo com obrigações fiscais e legais.

As diferenças estão no procedimento, e você só as descobre na hora exata em que quer sair:

• A CrushOn AI não apaga conta com assinatura ativa. Cancele primeiro, apague depois, nessa ordem. Há ainda uma janela de três dias em que entrar de novo desfaz a exclusão: rede de proteção se você mudar de ideia, armadilha se contava com o caráter definitivo.
• A Infatuated AI leva até 90 dias e só aceita pedido por e-mail. Outra seção da mesma política promete resposta em 30 dias, ou seja, os dois números tratam de coisas diferentes, e o documento não diz qual vale para quê.
• Nenhum dos cinco diz o que acontece especificamente com o histórico de conversas. O que se apaga, segundo os textos, são dados da conta. Se o conteúdo dos seus diálogos está dentro dessa expressão, nenhuma das cinco políticas esclarece.

Esse último ponto é o título honesto desta seção: a pergunta que as pessoas de fato querem respondida é a que ninguém nesta categoria responde por escrito.

O que sabem depois da primeira conversa

A OurDream publica o único resumo em linguagem simples do conjunto, e ele é curto o bastante para servir: dados de conta com e-mail e confirmação de idade, dados de pagamento, os personagens, chats, imagens e vídeos que você cria, telemetria de uso, e dados de dispositivo com navegador, sistema e região aproximada.

A mesma página responde a algo que os outros deixam em aberto. Na linha dos fornecedores terceirizados de modelos de IA, sobre quem vê os chats privados, a resposta é sim: a mensagem enviada é processada pelo fornecedor do modelo para gerar a resposta. Sua conversa chega a uma segunda empresa por projeto, não por acidente, e isso vale para todo produto da categoria que não roda modelos próprios.

A Candy AI acrescenta a peça em que pouca gente pensaria. Ao lado do conteúdo, a política registra metadados sobre esse conteúdo: data e hora de envio e o endereço IP de origem. A conversa é um registro; quando e de onde você a teve é outro.

A lista da SpicyChat é a mais curta e tem uma pegadinha: os quatro logins sociais aceitos são Google, Discord, Twitter e LinkedIn. Usar qualquer um entrega o nome e o endereço ligados àquela conta, o oposto do que a maioria procura ao escolher login social.

Uma conta gratuita e uma conversa bastam para criar tudo isso. Não existe um limite que só é cruzado depois.

O que nenhum deles publica

Uma ausência também é um achado, então vale dizer:

• Nenhuma recusa do treino dentro do produto. Em nenhum dos três que treinam. As únicas recusas previstas nesses documentos tratam de e-mail de marketing, cookies e métricas.
• Nenhum prazo de retenção para o texto das conversas. Os 30 dias da Candy AI valem para arquivos de log, não para diálogos.
• Nenhuma afirmação de que apagar a conta retira suas mensagens de conjuntos de dados já usados. Uma vez que o texto entrou num conjunto de treino, nenhuma dessas políticas descreve a saída.

O que acontece dentro dessas empresas não sabemos, e ninguém de fora sabe. Verificável é aquilo com que se comprometeram por escrito, e por isso esta página cita documentos em vez de dar nota a empresas. A mesma regra vale para o resto do site e está na página de metodologia: usar o aplicativo por conta própria, conferir cada número nas páginas do serviço e dizer quando algo não dá para conferir.

O que fazer com isso

Nada aqui exige conhecimento técnico. Exige fazer antes, e não depois.

1. Use um e-mail que não seja o seu nome. O passo mais eficaz e o único que continua servindo depois de um vazamento. No vazamento da Muah AI saíram endereços de e-mail junto com o que as pessoas haviam pedido, e isso só identifica se o endereço identifica você.
2. Pule o login social. A SpicyChat oferece quatro, e cada um entrega um nome real que você não precisaria dar.
3. Olhe a data da política antes de confiar nela. Um documento mexido pela última vez em 2023 ou 2024 é mais antigo do que a maior parte do que esses produtos fazem hoje.
4. Cancele antes de apagar. Na CrushOn AI o botão de exclusão não funciona enquanto a assinatura estiver correndo.
5. Peça por escrito e guarde a resposta. Todas essas empresas indicam um endereço para pedidos sobre dados. Um e-mail datado é a única prova de que você pediu, e a base de uma petição à ANPD.
6. Trate o texto como permanente. Não porque essas empresas sejam desonestas, mas porque nenhuma delas escreveu o contrário.

Aplicamos a mesma régua aos nossos próprios dados: nossa página de privacidade diz exatamente o que este site coleta e como desligar. É bem mais curta, pelo motivo simples de que não rodamos modelo nenhum.

O resto está nas análises: quanto custam Candy AI e OurDream, o que os planos gratuitos realmente permitem e o que os termos dizem sobre dinheiro em vez de dados. Se quiser a lista primeiro, o ranking está na página inicial.