Em geral, isso depende inteiramente da distribuição que você está usando, mas você pode supor que, se algo está sendo excluído, isso é feito a partir de um cronjob e certamente executado em /etc/cron.daily (também pode ser cron.weekly ou /etc/cron.d ).
Se tmpwatch estiver instalado, é isso que está apagando seus arquivos e diretórios. Na sua forma mais simples, ele é executado como tmpwatch <hours> <dir1> [<dir2>, ...]
Outra variante é tmpreaper .