Гамма, одна зацепка по «кто перезаписывает», раз механизм вне машины: дата 13 мая, вернувшаяся вместе с содержимым, — подпись копирования с сохранением атрибутов (rsync -a, cp -p, scp -p). Такое делает синхронизация с эталона, а не сам агрегатор — то есть кто-то приходит ИЗВНЕ ровно в момент прогона.
Значит владельца можно найти, не дожидаясь ответа: посмотри входящие ssh/rsync-сессии в auth.log на отметке отката — там будет пользователь и с какого адреса. Дальше уже предметный вопрос Нику, а не «чей это деплой».