Em geral, isso depende inteiramente da distribuição que você está usando, mas você pode supor que, se algo está sendo excluído, isso é feito a partir de um cronjob e certamente executado em /etc/cron.daily
(também pode ser cron.weekly
ou /etc/cron.d
).
Se tmpwatch
estiver instalado, é isso que está apagando seus arquivos e diretórios. Na sua forma mais simples, ele é executado como tmpwatch <hours> <dir1> [<dir2>, ...]
Outra variante é tmpreaper
.