Vos conversations entraînent-elles le modèle ?

Trois questions prises pour une seule

Le texte part-il à l'entraînement ? Une affirmation sur un usage précis. Elle ne dit rien sur la lecture humaine, ni sur la durée de conservation.

Combien de temps est-il gardé ? Une question de conservation. Un service peut n'entraîner sur rien et garder vos messages des années ; un autre peut tout utiliser et effacer les journaux bruts en un mois.

Que disparaît-il quand vous supprimez le compte ? Celle qui préoccupe vraiment les gens, et la moins souvent traitée. Supprimer un compte et supprimer les données derrière sont deux opérations, et seuls certains éditeurs disent si la seconde découle de la première.

Séparées, les cinq réponses deviennent comparables. Mélangées, elles se ressemblent toutes.

Ce que les cinq écrivent, mot pour mot

Chaque ligne vient du document nommé dans la première colonne, consulté le 20 septembre 2026.

Ce tableau n'est pas un classement de la vie privée. C'est un classement de la documentation : certaines de ces sociétés ont rédigé une politique à propos de leur produit, d'autres en ont installé une.

Celui qui le dit franchement

Le document de Candy AI est le plus détaillé des cinq, et c'est le plus rapide pour comprendre ce que recouvre concrètement le mot entraînement.

Il liste l'entraînement comme une finalité à part entière au lieu de le fondre dans l'amélioration du service. Il indique que la préparation des jeux de données peut comporter une relecture humaine. Et il nomme la base légale : un intérêt légitime à fournir le meilleur service possible et à l'améliorer.

C'est ce dernier point qui compte le plus en pratique. Consentement et intérêt légitime ne s'équivalent pas. Ce qui repose sur le consentement s'arrête dès que le consentement est retiré. Ce qui repose sur l'intérêt légitime continue jusqu'à ce que quelqu'un s'y oppose au titre de l'article 21 du RGPD et que l'opposition l'emporte. C'est une autre procédure, avec une autre issue, et elle n'est ouverte que parce que la base légale figure noir sur blanc dans le document.

La même politique est la seule des cinq à publier un chiffre pour les journaux : 30 jours, pour des fichiers contenant les interactions, les identifiants d'utilisateur et les horodatages. C'est court pour cette catégorie, et c'est vérifiable, ce qu'aussi longtemps que nécessaire n'est jamais.

Ceux qui ne disent rien

Le silence d'une politique n'est pas une dénégation, et chez SpicyChat les deux documents ne pointent pas dans la même direction.

La politique de confidentialité porte toujours la date du 4 mai 2023 et ne parle jamais d'entraînement. Les conditions, modifiées le 23 juillet 2026, accordent à la société sur votre agent et sur les chats qui en sortent une autorisation perpétuelle et irrévocable. Aucun des deux textes ne dit que cette autorisation sert à l'entraînement. Aucun ne dit le contraire. Une autorisation aussi large n'a plus besoin d'une clause d'entraînement pour couvrir l'entraînement.

La même politique contient un détail qui en dit long sur le soin apporté : la société y est définie comme SpicyChat.AI, Corporate Address, l'emplacement réservé du modèle est resté, et le pays indiqué est le Canada, sans qu'aucune personne morale soit nommée.

Infatuated AI se tait autrement, et cela commence plus tôt. À l'adresse où se trouve habituellement une politique de confidentialité, il n'y a rien ; le document est rangé à un tout autre chemin, ce qui explique qu'il ait longtemps été recensé comme inexistant. Il existe, il date du 13 septembre 2024, et il ne dit rien de l'entraînement.

Il décrit aussi toujours la société comme certifiée au titre du Privacy Shield entre l'Union européenne et les États-Unis. La Cour de justice de l'Union européenne a invalidé ce cadre le 16 juillet 2020 dans l'affaire C-311/18. Le paragraphe suivant de la politique relativise lui-même le propos : la contradiction était connue et elle est restée.

Ce que le RGPD donne réellement ici

Pour un utilisateur en France, ce sont quatre leviers, et ils jouent quel que soit le siège de l'éditeur : l'article 3, paragraphe 2, du RGPD étend expressément le règlement aux responsables de traitement non établis dans l'Union dès lors qu'ils offrent des services à des personnes situées dans l'Union.

• Article 15, accès. Obtenir confirmation qu'un traitement a lieu, savoir lesquelles de vos données, pour quelles finalités, vers quels destinataires et pour quelle durée de conservation envisagée. C'est le levier qui transforme aussi longtemps que nécessaire en une réponse chiffrée.
• Article 17, effacement. Effacement sans délai indu lorsque les données ne sont plus nécessaires à la finalité d'origine, ou lorsque le consentement a été retiré.
• Article 21, opposition. Le seul levier qui atteigne l'entraînement, tant que celui-ci repose sur l'intérêt légitime. Le responsable doit alors démontrer des motifs légitimes impérieux qui prévalent sur vos intérêts, vos droits et vos libertés.
• Article 77, réclamation. Auprès de l'autorité de contrôle de votre résidence, de votre lieu de travail ou du lieu de l'infraction supposée. En France, c'est la CNIL, sans avocat et sans frais.

Reste une différence pratique. EverAI Limited, la société derrière Candy AI, est immatriculée à Malte sous le numéro C107181, avec une adresse postale maltaise et un délégué à la protection des données nommé dans la politique. C'est la seule des cinq établie dans l'Union. Pour les autres, le même règlement s'applique, mais le destinataire de la demande se trouve aux États-Unis, au Canada, ou n'est pas nommé du tout, et une demande d'accès ne se déroule pas de la même manière.

Combien de temps le texte reste

Quatre des cinq répondent par une variante de la même phrase : aussi longtemps qu'il le faut. C'est juridiquement banal et pratiquement inutile, puisque rien ne se vérifie de l'extérieur et qu'aucune date ne garantit une disparition.

Candy AI fait exception avec quatre durées publiées. Savoir si trois ans de données de compte sont raisonnables est un autre débat ; au moins peut-on le tenir avec un chiffre sous les yeux.

OurDream publie une règle que les autres n'ont pas, assez précise pour qu'on en tienne compte : si un personnage public que vous avez créé devient assez populaire, la société se réserve le droit d'en conserver les caractéristiques et de le laisser actif sur le service, même si vous supprimez par ailleurs vos données et votre compte. Son propre conseil est donc de ne rien mettre d'identifiant dans le formulaire de création. La clause ne touche pas vos conversations, mais c'est le seul cas du lot où une chose que vous avez faite survit au compte qui l'a faite.

Ce que supprimer le compte supprime vraiment

Deux des cinq laissent le faire depuis les réglages. Un exige un e-mail. Les cinq se réservent le droit de conserver certaines pièces malgré tout, ce qui est normal et relève surtout des obligations fiscales et légales.

Les différences sont dans le déroulé, et on les découvre au moment précis où l'on veut partir :

• CrushOn AI ne supprime pas un compte avec un abonnement actif. Résilier d'abord, supprimer ensuite, dans cet ordre. S'y ajoute une fenêtre de trois jours pendant laquelle une reconnexion annule la suppression : un filet si vous changez d'avis, un piège si vous comptiez sur le caractère définitif.
• Infatuated AI prend jusqu'à 90 jours et n'accepte que l'e-mail. Une autre section de la même politique promet une réponse sous 30 jours : les deux chiffres ne désignent pas la même chose, et le document ne dit pas lequel s'applique à quoi.
• Aucun des cinq ne dit ce qu'il advient précisément de l'historique des conversations. Ce qui est supprimé, selon les textes, ce sont les données de compte. Si le contenu de vos échanges entre dans cette expression, aucune des cinq politiques ne le précise.

C'est le titre honnête de cette section : la question à laquelle les gens veulent vraiment une réponse, personne dans cette catégorie n'y répond par écrit.

Ce qu'ils savent après la première conversation

OurDream publie le seul récapitulatif en langage clair du lot, assez court pour servir : informations de compte avec e-mail et confirmation d'âge, données de paiement, personnages, chats, images et vidéos que vous créez, télémétrie d'usage, et données d'appareil avec navigateur, système et région approximative.

La même page répond à une question que les autres laissent ouverte. À la ligne des fournisseurs tiers de modèles d'IA, sur qui voit vos conversations privées, la réponse est oui : le message envoyé est traité par le fournisseur du modèle pour produire la réponse. Votre conversation atteint une deuxième société par construction, pas par accident, et c'est vrai de tout produit de cette catégorie qui n'héberge pas ses propres modèles.

Candy AI ajoute la pièce à laquelle on ne pense pas. À côté du contenu, la politique enregistre des métadonnées sur ce contenu : date et heure d'envoi, et adresse IP d'origine. La conversation est un enregistrement ; quand et d'où vous l'avez eue en est un autre.

La liste de SpicyChat est la plus courte et comporte un piège : les quatre connexions proposées sont Google, Discord, Twitter et LinkedIn. En utiliser une transmet le nom et l'adresse attachés à ce compte, soit l'inverse de ce que la plupart des gens recherchent avec une connexion sociale.

Un compte gratuit et une conversation suffisent à créer tout cela. Il n'y a pas de seuil franchi plus tard.

Ce qu'aucun ne publie

Une absence est aussi un constat, donc disons-le :

• Aucun refus de l'entraînement dans le produit. Chez aucun des trois qui entraînent. Les seuls refus prévus dans ces documents concernent les e-mails commerciaux, les cookies et la mesure d'audience.
• Aucune durée de conservation pour le texte des conversations. Les 30 jours de Candy AI visent les fichiers journaux, pas les échanges.
• Aucune mention indiquant que supprimer un compte retire vos messages des jeux de données déjà utilisés. Une fois le texte dans un corpus d'entraînement, aucune de ces politiques ne décrit la sortie.

Ce qui se passe à l'intérieur de ces sociétés, nous ne le savons pas, et personne à l'extérieur ne le sait. Ce qui est vérifiable, c'est ce à quoi elles se sont engagées par écrit, et c'est pourquoi cette page cite des documents au lieu de noter des entreprises. La règle vaut pour le reste du site et figure sur notre page méthode : utiliser l'application nous-mêmes, puis confronter chaque affirmation aux pages de l'éditeur, et dire quand une affirmation ne peut pas être vérifiée.

Quoi en faire

Rien ici ne demande de compétence technique. Cela demande de le faire avant plutôt qu'après.

1. Utiliser une adresse qui n'est pas votre nom. L'étape la plus efficace, et la seule qui serve encore après une fuite. Dans la fuite de Muah AI, ce sont des adresses e-mail assorties des demandes tapées qui sont sorties ; cela n'identifie que si l'adresse vous identifie.
2. Éviter la connexion sociale. SpicyChat en propose quatre, et chacune livre un vrai nom que vous n'auriez pas eu à donner.
3. Regarder la date de la politique avant de lui faire confiance. Un document touché pour la dernière fois en 2023 ou 2024 est plus ancien que l'essentiel de ce que ces produits font aujourd'hui.
4. Résilier avant de supprimer. Chez CrushOn AI, le bouton de suppression ne fonctionne pas tant qu'un abonnement court.
5. Demander par écrit et garder la réponse. Chacune de ces sociétés indique une adresse pour les demandes relatives aux données. Un e-mail daté est la seule preuve que vous avez demandé, et la base d'une réclamation au titre de l'article 77.
6. Considérer le texte comme durable. Non parce que ces sociétés seraient malhonnêtes, mais parce qu'aucune n'a écrit le contraire.

Nous appliquons la même exigence à nos propres données : notre page confidentialité dit exactement ce que ce site collecte et comment le couper. Elle est bien plus courte, pour la raison simple que nous ne faisons tourner aucun modèle.

Le reste est dans les avis : ce que coûtent Candy AI et OurDream, ce que leurs offres gratuites permettent vraiment, et ce que leurs conditions disent de l'argent plutôt que des données. Pour la sélection d'abord, le classement est en page d'accueil.