Права на папки и файлы сайта

Приветствую, надеюсь на ваши подсказки в следующих вопросах, которые скорей о безопасности, чем о реализации.

1. Кто должен быть владельцем основной папки где лежит сайт? Например /var/www/site.ru/
Можно ли назначить www-data? Или безопасней будет другого пользователя ?

2. Кого назначить владельцем всех папок и файлов сайта ? www-data? или другого?

3. Если необходима папка, куда пользователь может загрузить файл, то какие дать права и кого назначить хозяином? 755 и www-data?

Еще раз отмечу, что вопросы с точки зрения безопасности.

Огромное спасибо за ваше время и ответы.

1) тот, от кого приложение деплоится. Не веб-сервер и не тот пользователь, от которого приложение исполняется.
2) аналогично п.1, кроме тех директорий, куда приложение пишет. Временные директории, логи и т.д.
3) в зависимости от дальнейшей судьбы. Приложение очевидно должно иметь возможность туда писать, значит у пользователя приложения wx привилегии должны быть (read не обязателен). Кто оттуда должен читать? Приложение? Веб-сервер? У читателя должны быть rx на директорию.

-----
PostgreSQL DBA